Rapport d’audit interne sur le Secteur de la surveillance des sociétés d’assurances - Groupe de l’assurance hypothécaire

1. Le contexte

Introduction

L’Audit interne (AI) réalise des missions d’assurance pour déterminer si les processus de gestion du risque, de contrôle et de gouvernance du Bureau du surintendant des institutions financières Canada (BSIF), tels qu’ils ont été conçus et présentés par la direction, sont adéquats et fonctionnent de manière à ce que les risques soient bien déterminés et pris en charge, et pour veiller au respect des exigences énoncées notamment dans les politiques, les plans, les procédures ainsi que les lois et leurs règlements d’application.

L’audit du Groupe de l’assurance hypothécaire (GAH) a été recommandé par le Comité d’audit du BSIF et il a été approuvé par le surintendant aux fins d’inclusion dans le Plan d’audit interne 2015-2016 du BSIF.

Le rapport sera soumis à l’examen et à l’approbation du surintendant, à l’occasion de la réunion du Comité d’audit du 30 juin 2016.

Contexte

L’objectif du processus de surveillance du BSIF consiste à évaluer la sûreté et la stabilité d’une institution sur une base consolidée et à fournir des signes avant-coureurs hâtifs de problèmes pour permettre au BSIF d’intervenir en temps opportun et avec efficacité lorsqu’il estime que les pratiques de l’institution sont imprudentes ou néfastes, ou qu’elles sont susceptibles de le devenir.

Le Groupe de l’assurance hypothécaire (GAH) fait partie du Secteur de la surveillance des sociétés d’assurances et est responsable de la surveillance de toutes les sociétés d’assurance hypothécaire (privées et publiques). L’assurance hypothécaire est une branche d’assurance qui offre aux prêteurs une protection contre les pertes causées par le défaut de bénéficiaires de prêts hypothécaires et qui sert à assurer les titres adossés à des créances émis par des institutions de dépôts, des conglomérats et des établissements hors conglomérat.

Le GAH aide le BSIF à s’acquitter de son mandat de protéger les déposants et les souscripteurs contre les pertes indues et de promouvoir la confiance dans le système financier. Le GAH supervise et surveille la sûreté et la solidité des sociétés d’assurance hypothécaire en insistant notamment sur la gouvernance, les pratiques et mesures de contrôle en matière de gestion des risques, la suffisance des fonds propres, la comptabilisation adéquate des actifs et des passifs et les liquidités. Dans ses activités de surveillance, le Groupe vérifie si les assureurs se conforment aux règles établies par les lois et au cadre de réglementation du BSIF et les mettent en application.

Le BSIF recourt à une méthode disciplinée et fondée sur les risques pour surveiller les sociétés d’assurances et les institutions de dépôts, peu en importe leur taille. La méthodologie de surveillance du BSIF est décrite de façon générale dans le document intitulé Cadre de surveillance 2010, et plus en détail dans un certain nombre de guides de surveillance. Ces documents établissent le cadre conceptuel d’un processus de surveillance efficace que tous les groupes de surveillance, dont le GAH, doivent suivre et appliquer.

2. La mission

Objectifs de la mission

L’audit avait pour objet de déterminer si le GAH applique adéquatement les méthodes de surveillance du BSIF pour évaluer la sûreté et la stabilité des sociétés d’assurance hypothécaire. Plus précisément, nous cherchions à déterminer si :

1. les activités de planification du GAH témoignent manifestement d’une approche et d’un mécanisme d’affectation des ressources fondés sur les risques;
2. la logique et la présentation des documents de surveillance du GAH appuient clairement les évaluations des risques, les conclusions et les mesures de surveillance prises;
3. le Cadre de surveillance et les guides connexes du BSIF sont appliqués de manière appropriée et cohérente au processus de surveillance suivi par le GAH pour cerner et évaluer les questions liées au risque de l’assurance hypothécaire, et en rendre compte.

Portée de la mission

L’audit ciblait les sociétés d’assurance hypothécaire que surveille le GAH.  

L’équipe de l’AI a choisi des travaux de surveillance exécutés par le GAH entre le 1^er avril 2014 et le 31 mars 2015 aux fins d’examen. Cependant, sachant que le processus de surveillance ne cesse d’évoluer, l’AI a examiné la documentation portant sur les événements qui se sont produits après la période de l’audit choisie pour déceler des preuves d’amélioration, le cas échéant.

Approche de la mission

Aux fins de cet audit, nous avons :

• passé en revue le Cadre de surveillance et les guides connexes du BSIF pour se rappeler les exigences;
• discuté avec le personnel du GAH pour comprendre le mandat du Groupe, son processus (c.-à-d., les étapes de la planification, de l’exécution, de la surveillance, de la production de rapports et du suivi) et les pratiques en place;
• étudié les principaux documents de surveillance de certains assureurs hypothécaires préparés par le personnel du GAH pour évaluer la façon dont le Groupe applique la méthode du BSIF.

Déclaration de conformité

L’audit a été effectué conformément aux Normes internationales pour la pratique professionnelle de l’audit interne de l’Institut des vérificateurs internes (IVI), à la Politique sur la vérification interne du Secrétariat du Conseil du Trésor (SCT) et aux Normes relatives à la vérification interne au sein du gouvernement du Canada, qui sont appuyées par les résultats du programme d’amélioration et d’assurance de la qualité.

3. Les notes des observations

Notes des observations

Les observations sont notées afin d’aider la direction à affecter les ressources nécessaires pour combler les lacunes relevées et/ou améliorer les contrôles internes et/ou l’efficacité opérationnelle. Ces notes sont à titre d’orientation seulement. La direction doit évaluer les notes selon sa propre expérience et propension à prendre des risques.

Les observations sont notées conformément à ce qui suit :

Observation prioritaire – une attention immédiate est requise compte tenu soit d’une lacune significative relative à une mesure de contrôle (c.-à-d., il n’y a pas de mesure de contrôle ou la mesure de contrôle est mal conçue ou ne fonctionne pas efficacement) soit d’une possibilité d’améliorer considérablement les opérations.

Observation à priorité moyenne – il faut combler une lacune relative à une mesure de contrôle ou améliorer les opérations à court terme.

Observation à faible priorité – observation non essentielle à laquelle on peut donner suite soit en renforçant une mesure de contrôle interne soit en améliorant les opérations, normalement à peu de frais et d’efforts.

Les notes individuelles ne doivent pas être considérées seules; il faut tenir compte aussi de leur effet sur d’autres objectifs et domaines.

4. Résultats de la mission

Conclusion

L’application du Cadre de surveillance (CS) du BSIF est un processus complexe qui requiert une approche disciplinée et beaucoup de jugement de la part des équipes de surveillance dans la conduite des évaluations. La méthode de surveillance du BSIF établit le cadre conceptuel et le fondement pour appuyer un processus de surveillance efficace que doivent suivre tous les groupes de surveillance. Pour mettre efficacement en œuvre la méthode du BSIF, il faut bien comprendre les principes de la surveillance fondée sur les risques et les appliquer de façon uniforme.  

Même si l’équipe du GAH a fait la preuve de bien comprendre les activités des  institutions, la logique et circulation de l’information et les évaluations de surveillance n’étaient pas toujours transparentes pour appuyer les conclusions dégagées et les notes attribuées. Les processus de surveillance doivent être renforcés pour que les travaux de surveillance fassent l’objet en temps opportun d’un examen efficace à chacune des étapes du processus afin de veiller à ce que le risque lié à la surveillance soit atténué.

Des améliorations ont été apportées à la structure et aux activités de surveillance du GAH; cependant, il faut maintenant renforcer le mandat, les méthodes d’information et les ressources du GAH. L’orientation et l’engagement de la haute direction du BSIF seront probablement nécessaires, car les plans d’action correctifs influeront peut-être sur d’autres groupes que le GAH.   

5. Réponse de la direction

Réponse

La direction du GAH tient à remercier l’équipe d’audit d’avoir procédé à cet exercice de façon professionnelle, claire et transparente. Nous sommes d’accord avec les constatations issues de l’audit et la direction du GAH s’engage à donner suite aux recommandations énoncées dans le rapport pendant l’exercice en cours (2016-2017).  

6. Observations et recommandations

1. Attributions et obligations redditionnelles du GAH

Observation prioritaire

Voici le mandat^{Note de bas de page 1} du GAH :

• surveiller les assureurs hypothécaires fédéraux (AHF) pour déterminer s’ils sont en bonne santé financière et s’ils se conforment aux lois et exigences de surveillance qui les régissent;  
• déterminer si les assureurs publics exécutent en tout ou en partie leurs activités commerciales de façon sécuritaire et rigoureuse, notamment si ces activités sont menées en tenant dûment compte de leur exposition aux risques.

Pour s’acquitter de son mandat, le GAH fait des évaluations de surveillance et examine les activités des assureurs hypothécaires privés et publics et enquête sur ces activités, et ce, conformément à la méthode du BSIF.

L’audit a permis de constater que le rôle et les obligations redditionnelles du BSIF en matière de surveillance des assureurs publics ne sont pas clairs. Il n’y a pas d’attentes claires et distinctes concernant l’exercice des pouvoirs et autorisations du BSIF pour ce qui est de surveiller un assureur hypothécaire public réputé être d’importance systémique intérieure et cela semble avoir nui à la capacité du GAH de surveiller de manière efficiente et efficace.

Recommandations  

Pour clarifier les choses et établir et maintenir une relation efficace entre le BSIF et les institutions qu’il surveille, il faudra que la haute direction du BSIF donne des consignes sur la façon dont les divers interlocuteurs doivent travailler et les obligations redditionnelles relatives qui en découlent.

Les mécanismes pour instaurer des obligations redditionnelles précises, y compris définir un mandat officiel pour le GAH en tant que groupe distinct, doivent être étayés et communiqués à tous les interlocuteurs impliqués (c.-à-d., internes et externes).

Mesures préconisées par la direction

Dans le cadre du mandat courant, nous sommes parvenus à faire en sorte que l’assurance hypothécaire devienne un point d’intérêt de la surveillance distinct des assurances multirisques. Cependant, la transition étant terminée, la direction du GAH convient qu’il faut revoir le mandat de la surveillance de l’assurance hypothécaire. La direction étudiera et actualisera son mandat au cours de l’exercice 2016-2017 et en transmettra une version à jour aux interlocuteurs pertinents.

2. Collecte de données par le GAH

Observation prioritaire

Dans le cadre de son mandat de surveillance, le BSIF oblige tous les assureurs hypothécaires à rendre compte chaque trimestre des caractéristiques de risque de leurs polices souscrites nouvelles et en vigueur. Le GAH a besoin de méthodes de collecte de données adéquates pour recueillir les renseignements concernant les assureurs et de mesures de contrôle appropriées pour garantir que l’information recueillie par le GAH est fiable, exacte et adéquatement protégée.

Les méthodes de collecte de données du GAH actuelles sont inefficaces et nécessitent beaucoup de main-d’œuvre, la technologie disponible n’appuyant pas les besoins en information du GAH.

À l’heure actuelle, les assureurs hypothécaires soumettent leurs données au GAH dans des formulaires Excel, exigeant beaucoup d’interventions manuelles et des procédures de rechange, ce qui peut compromettre l’intégrité, la qualité et l’exactitude de l’information déclarée. Cela limite considérablement la capacité du GAH de recueillir et d’organiser des appels de données imposants et de composer avec ceux-ci et pourrait ne pas convenir pour appuyer la production des rapports que doit présenter le GAH aux interlocuteurs externes concernant la conformité des assureurs aux lois et/ou règlements pertinents (p. ex., rapport annuel du BSIF sur le montant total du solde impayé du principal de tous les prêts hypothécaires assurés en vertu de la Loi sur la protection de l’assurance hypothécaire résidentielle (LPPHR) et des paramètres du bac à sable conformément au Règlement sur les prêts hypothécaires admissibles émis par le gouvernement).

En outre, concernant la collecte de données, le GAH a beaucoup recours à des employés spécialisés pour consolider, corréler et valider (sous réserve de certaines limites) la ventilation par les assureurs du montant total du solde impayé du principal des prêts assurés. Le GAH pourrait être vulnérable à la dépendance envers des personnes clés en cas de départ. Le fait que les processus, pratiques et procédures de collecte et de gestion des données ne sont pas officiellement documentés intensifie le risque d’exposition.

Recommandations

Il faut penser en priorité à renforcer la capacité du GAH de recueillir et gérer les données des assureurs hypothécaires. En adoptant une approche centrée sur les données à l’égard de la collecte et de l’analyse des données sectorielles, le GAH sera en meilleure position pour s’acquitter de ses responsabilités de surveillance, soit déterminer, évaluer et surveiller la conformité des assureurs hypothécaires aux exigences des lois et règlements, et d’en rendre compte, de manière efficiente et efficace. 

Le GAH aura besoin de l’orientation et de l’engagement de la haute direction du BSIF pour garantir qu’une solution appuyant ses besoins en information dans un environnement de contrôles adéquat sera élaborée.

Mesures préconisées par la direction

Même si elle peut compter sur des mesures de contrôle compensatoires pour gérer les risques liés aux données, la direction du GAH reconnaît les vulnérabilités dont il est question dans le rapport d’audit. Elle préparera une initiative visant à faciliter une meilleure gouvernance et utilisation des données sur l’assurance hypothécaire et la soumettra à l’étude dans le cadre du processus de planification de l’exercice 2017-2018.  Sachant que les exigences en matière de gouvernance des données du GAH ne représentent qu’un seul aspect du cadre du BSIF de gouvernance des données, on procédera à cette initiative en travaillant conjointement avec le cadre actuel du BSIF en matière de gouvernance des données et les modifications qu’il pourrait subir.

3. Suivi et planification fondée sur les risques par le GAH

Observation prioritaire

En raison de la taille et de la complexité de secteur de l’assurance hypothécaire et de la titrisation au Canada ainsi que de la conjoncture et des préoccupations actuelles, il importe encore davantage pour le GAH de sans cesse surveiller, cerner et évaluer les nouveaux risques en temps opportun et avec efficacité de façon à repérer plus facilement les éventuels problèmes de surveillance dans les institutions.

Conformément à la méthode fondée sur les risques du BSIF, les surveillants sont tenus de comprendre l’environnement, le secteur et le profil d’affaires de l’institution pour répertorier ses activités d’envergure. Les surveillants peuvent ainsi définir le contexte approprié aux fins de l’évaluation du profil de risque de l’institution.

Une fois les activités d’envergure de l’institution définies selon des facteurs qualitatifs et quantitatifs, les surveillants mettent au point une stratégie de surveillance de l’institution (SSI) pluriannuelle pour déterminer l’intensité de la surveillance et les ressources nécessaires afin de veiller à ce que l’évaluation par le BSIF du profil de risque de l’institution soit exacte et à jour.

Même s’il y avait, dans les documents de surveillance sur le suivi et la planification du GAH examinés, de l’information pertinente concernant le profil d’affaires des assureurs, les aspects suivants doivent être améliorés :

• L’analyse des principaux facteurs de l’environnement et des nouveaux risques et de leur éventuelle incidence pour les assureurs hypothécaires n’était pas toujours clairement fonction de la stratégie de surveillance pluriannuelle de l’institution, des plans de travail et de l’approche suivie pour effectuer les évaluations de surveillance.
• Même s’il était indiqué dans les documents sur la SSI que la priorité accordée à l’examen des activités à risque net plus élevé des institutions était, la plupart du temps, appropriée, les plans de travail étaient souvent incomplets et/ou ils étaient retardés en partie parce que des ressources spécialisées n’étaient pas disponibles (c.-à-d., Groupe de soutien de la surveillance).
• Les processus et pratiques du GAH en vigueur visant à assurer une supervision adéquate quand les plans de travail et les priorités des assureurs hypothécaires changent n’étaient pas suivis de façon uniforme.
• Il n’était pas toujours possible d’établir si les risques / enjeux au titre de l’assurance hypothécaire déjà cernés et déclarés dans le cadre du processus de surveillance trimestriel avaient fait l’objet d’un suivi et/ou si leur règlement était surveillé.

Recommandations

Pour renforcer le processus de suivi et de planification du GAH, il faudra prouver de façon claire et appropriée les liens entre les risques / enjeux nouveaux susceptibles d’influer sur les assureurs hypothécaires et les plans de travail et l’approche de la stratégie pluriannuelle de surveillance de l’institution.

Les risques / enjeux déjà cernés et déclarés dans le cadre du processus de suivi trimestriel du GAH doivent être pleinement intégrés au processus de planification de la surveillance du GAH et il faut en suivre et en évaluer avec soin le règlement.   

Pour que les stratégies et plans de travail de surveillance des institutions du GAH soient mieux exécutés, il faudra l’attention, l’orientation et l’engagement de la haute direction à l’égard des solutions mises au point, puisque la mise en œuvre de celles-ci pourrait avoir un effet sur des groupes autres que le GAH (c.-à-d., groupes spécialisés). Autrement, le GAH pourrait avoir de la difficulté à réaliser un niveau approprié de couverture (y compris les travaux de suivi) pour faciliter l’évaluation du profil de risque des institutions et cerner rapidement les problèmes de surveillance.

La direction du GAH devrait évaluer sa capacité et déterminer le niveau prévu de ressources spécialisées et de compétences qu’il doit avoir (c’est-à-dire officiellement affectées au GAH) pour s’assurer de disposer des ressources nécessaires afin d’atteindre ses objectifs et de s’acquitter de son mandat de surveillance.

Mesures préconisées par la direction

La direction du GAH reconnaît que certains processus mis au point conformément à un cadre régissant les opérations des assureurs multirisques ne sont pas nécessairement aussi efficaces en vertu de la nouvelle approche de surveillance de l’assurance hypothécaire. La direction du GAH renforcera son suivi opérationnel en mettant en œuvre un tableau de bord opérationnel pour le groupe de l’assurance hypothécaire dans lequel les liens entre la planification de la surveillance et l’exécution des examens figurant dans les stratégies de surveillance des assureurs hypothécaires seront indiqués. Ce tableau de bord opérationnel sera mis en place d’ici le deuxième trimestre de l’exercice courant (2016-2017) et sera remis sur une base trimestrielle au surintendant auxiliaire et aux chefs des groupes du GSS impliqués pour l’année du plan.

En outre, la direction du GAH procédera à une analyse détaillée des ressources dans le cadre du processus de planification annuel de l’exercice 2017-2018 en tenant compte des exigences en matière de documents de surveillance et d’autres efforts de surveillance de base.

4. Évaluations des risques par le GAH : Exécution, présentations de rapports et suivi des questions

Observation à priorité moyenne

Conformément au Cadre de surveillance, il faut évaluer les risques inhérents des principales activités d’envergure (AE) d’une institution et l’efficacité des pratiques de contrôle et de gestion des risques de l’institution pour déterminer le risque net et l’orientation du risque de chaque activité. L’évaluation des risques permet aux surveillants de définir des attentes quant au type et à la rigueur des mesures de contrôle nécessaires pour atténuer les risques inhérents à l’activité. Ainsi, l’évaluation de la qualité de la gestion des risques consiste à comparer ces attentes aux mécanismes en place dans l’institution.

La méthode exige aussi une évaluation de l’efficacité globale de chacune des fonctions de qualité de la gestion des risques (QGR) de l’institution. Les résultats de l’évaluation de la QGR donnent une idée de l’ampleur des tests directs que doivent effectuer les surveillants pour évaluer l’efficacité de la gestion opérationnelle. De plus, le recours au besoin aux travaux des fonctions de QGR peut aider à coordonner la portée, à minimiser le double emploi et à concentrer les ressources de la surveillance sur les risques et les mesures de contrôle présentant un intérêt plus élevé, voire critique, pour le BSIF.

Une fois le risque net de toutes les activités d’envergure évalué, l’importance de chaque activité est prise en compte pour déterminer le risque net global de l’institution. Une fois celui-ci calculé, l’adéquation des fonds propres, des liquidités et des bénéfices de l’institution est examinée pour définir la cote de risque composite (CRC) de l’institution. Les résultats de ces évaluations sont résumés et déclarés dans les notes de section (NS), le Document d’évaluation des risques (DER), la matrice de risque et, au besoin, d’autres documents de surveillance. Il faut que ces documents soient étudiés en temps opportun à chaque étape du processus de surveillance par le membre de la direction désigné (c.-à-d., guide G19) pour vérifier si le Cadre de surveillance du BSIF est appliqué de façon appropriée et cohérente et aider à cerner les aspects à améliorer et/ou les situations où il faudrait peut-être offrir au personnel de la formation et de l’encadrement supplémentaires.  

En vertu de la méthode, il faut aussi que les recommandations déjà signalées aux institutions fassent l’objet d’un suivi adéquat et en temps opportun.

Il y avait, dans les documents de surveillance du GAH étudiés, de l’information pertinente concernant les activités d’envergure des assureurs hypothécaires, mais les aspects suivants devraient être améliorés :  

• Même si les principaux risques inhérents des activités d’envergure ont été cotés, l’analyse et la justification des cotes n’étaient pas toujours transparentes.
• Les liens entre les principaux risques inhérents des AE et l’évaluation de la façon dont les stratégies de gestion des risques de l’institution ont permis d’atténuer efficacement les risques cernés et les problèmes / préoccupations de surveillance n’étaient pas toujours transparents et/ou les faits probants n’étaient pas suffisants pour appuyer les conclusions.
• Les cotes des fonctions de la QGR n’étaient pas bien justifiées et étaient, dans l’ensemble, fondées sur une évaluation des caractéristiques avec une évaluation minimale des indicateurs de rendement. La plupart des résultats des travaux des fonctions de la QGR n’étaient pas intégrés aux évaluations de surveillance, le cas échéant.
• Même si les surveillants ont suivi la recommandation du BSIF transmise aux institutions dans le Document de suivi, le processus visant à garantir que des mesures pertinentes ont été prises à l’égard des recommandations du BSIF et que leur efficacité a été évaluée ne semble pas atteindre le but prévu.

Recommandations

Pour renforcer le processus de surveillance du GAH, il faudra que la logique et la circulation de l’information et des évaluations qui se trouvent dans les principaux documents de surveillance appuient les conclusions dégagées, les cotes attribuées et les mesures de surveillance prises.

En conséquence, il faut que les travaux de surveillance soient étudiés en temps opportun à chaque étape du processus de surveillance pour vérifier si la méthode du BSIF est bien appliquée et aider à cerner les situations où il faudrait peut-être offrir au personnel de la formation et de l’encadrement supplémentaires.

La direction du GAH devrait envisager la possibilité de revoir son manuel opérationnel actuel afin de déterminer s’il concorde avec ses besoins courants et futurs et de rendre compte de la conformité des assureurs aux exigences législatives et réglementaires. Il faudrait, au besoin, mettre au point des outils et des consignes.

La direction du GAH pourrait revoir la mesure dans laquelle l’information est actuellement coordonnée et communiquée aux autres groupes du BSIF qui font des évaluations de surveillance là où la portée des travaux se chevauche pour garantir que les connaissances sont bien transférées et échangées, par exemple, faire part des résultats des travaux d’examen ou de surveillance du GAH si des risques / enjeux susceptibles d’influer sur à la fois les prêteurs et les assureurs ont été cernés.

Mesures préconisées par la direction

Un certain nombre de processus opérationnels sont appliqués à l’échelle du BSIF; le cadre opérationnel actuel restera pertinent. Toutefois, la direction du GAH reconnaît que certains processus opérationnels applicables dans le domaine de l’assurance multirisques s’inscrivant dans le cadre actuel ne sont peut‑être pas nécessairement aussi efficaces en vertu de la nouvelle approche de surveillance de l’assurance hypothécaire. Elle passera en revue la version courante de son cadre opérationnel pendant l’exercice en cours (2016‑2017) pour vérifier si elle concorde avec les exigences de surveillance des assureurs hypothécaires, et l’actualisera.

La direction du GAH remettra aussi le rapport de suivi trimestriel intégré aux groupes internes qui font des évaluations de surveillance des assureurs hypothécaires pour garantir que les interlocuteurs pertinents sont au courant de l’état d’avancement des examens de surveillance.

La direction du GAH soumettra à un processus d’examen par des experts chacun des assureurs hypothécaires pendant l’exercice en cours (2016-2017) pour vérifier si les évaluations et les cotes de surveillance sont bien appuyées dans les documents de surveillance. En participant à ce processus, il sera aussi plus facile aux équipes de chargés de surveillance d’expliquer les processus de décisions qui sous-tendent les cotes de l’évaluation des risques.