(Treize heures quarante-cinq

minutes)

Le Président (M. Simard) : À

l'ordre, s'il vous plaît! Je constate que nous avons quorum. Conséquemment,

nous pouvons entreprendre nos travaux.

Comme vous le

savez, la Commission des finances

publiques est aujourd'hui réunie afin

de procéder à l'étude des crédits budgétaires du portefeuille

Cybersécurité et Numérique pour l'exercice financier 2025‑2026.

M. le secrétaire, bonjour. Y a-t-il des

remplacements aujourd'hui?

Secrétaire : Oui, M. le Président. M. Beauchemin (Marguerite-Bourgeoys) est remplacé par Mme Setlakwe (Mont-Royal—Outremont); et Mme Zaga Mendez

(Verdun) est remplacée par M. Bouazzi (Maurice-Richard).

Le Président (M. Simard) : Alors,

bienvenue à nos nouveaux collègues.

Comme vous le savez, nous disposons d'une

enveloppe de 2 h 45 min et, comme le veut notre tradition, nous

allons alterner par blocs d'environ 20 minutes, en commençant, bien

entendu, par la porte-parole de l'opposition officielle, la députée de Mont-Royal—Outremont. Madame, vous

disposez d'environ 20 minutes.

Setlakwe : Merci, M. le Président, et bonjour. Bon après-midi

à vous tous. Bonjour, M. le ministre, ainsi qu'à toutes vos équipes. Heureuse

de me retrouver parmi vous cet après-midi pour discuter d'un dossier important,

cybersécurité et numérique. Débutons sans plus tarder.

M. le

ministre, il faut avoir à l'esprit le fiasco SAAQclic, qui a entraîné des

dépassements de coûts d'au moins 500 millions. Comment est-ce que

vous expliquez que le principal outil de reddition de comptes de votre

ministère, c'est-à-dire le tableau de bord,

reste aussi laconique, incomplet et franchement peu informatif pour la

population, alors que la Vérificatrice générale, dans son rapport, elle avait

clairement constaté que les informations qui avaient été transmises au fil des ans dans le tableau de bord du gouvernement

n'avaient pas permis d'assurer une reddition de comptes publique suffisante?

Le Président (M. Simard) : Merci,

Mme la députée. M. le ministre.

Bélanger : Bien, d'entrée de jeu, je veux souhaiter la

bienvenue à tous. C'est mes premiers crédits. Ça fait que je suis quand

même assez fébrile.

Pour ce qui

est de la SAAQ et de SAAQclic, je vais quand même être prudent, parce qu'il y a

une commission d'enquête publique. Et

puis on va avoir les résultats de cette enquête-là à l'automne, donc il va y

avoir les informations et certainement

des suggestions et recommandations qui vont en découler. Je pourrais revenir un

peu sur ce qui s'est passé, peut-être,

en... je ne sais pas, en 2014, sur l'exemption au niveau de la LGGRI,

justement, puis sans tirer des conclusions que la SAAQ a pu opérer sans gouvernance externe, mais je vais laisser

quand même la commission d'enquête faire ses analyses, ses entrevues

puis être capable de tirer, justement, les conclusions.

Le Président (M. Simard) : Merci.

Mme la députée.

Setlakwe : Merci, M. le ministre. Effectivement, il y a une

enquête en cours. Mon regard n'est pas tourné vers le passé. Mon regard est tourné vers l'avenir, et il y a plusieurs

chantiers majeurs au niveau informatique qui sont en cours. Et puis ma

question porte vraiment sur le tableau de bord. Vous êtes le nouveau ministre

qui êtes en poste. Êtes-vous satisfait du tableau de bord? Quels constats

tirez-vous, là, après quelques mois en fonction?

M. Bélanger : Bien, lorsque vous

parlez du tableau de bord, vous parlez des tableaux de bord, des résultats au niveau des divers projets. Je ne sais pas...

s'il y a un millier de projets, mettons qu'il y en a 209 en exécution, il y a certains

projets qui sont... où on a des suivis.

Je vous dirais, Mme la députée, que je suis

quand même prudent. Moi, j'utilise un principe, puis vous allez peut-être rire, je ne veux pas... je vais vous

faire rire un peu, là, j'appelle ça des projets pastèques. Vous savez,

c'est quoi, une pastèque? Une

pastèque, c'est un peu comme un... c'est un melon d'eau, une pastèque. Donc,

c'est vert, si vous le regardez de

tous les côtés. Et c'est vert, et puis, lorsque vous prenez le temps de couper

et d'analyser, parfois, ce que vous voyez à l'intérieur, c'est rouge et

il y a des pépins.

Donc là, j'ai fait ça, tu sais, un peu comme

imagé, mais je vous dirais que, lorsque je reçois un tableau de bord, je m'assure d'en faire l'analyse. Donc, je

n'assume pas que les données qui sont reçues... je ne dis pas qu'elles sont

fausses, mais je m'assure quand même de

faire les vérifications nécessaires. Si j'ai un doute... bien, lorsque j'ai un

doute, ça peut aller jusqu'à un pouvoir d'audit. Je peux décider de

déclencher un audit. Par contre, avant de moi-même transformer

un tableau de bord d'une couleur qui serait verte à une couleur qui serait

rouge, il y a des échanges, il y a différentes interventions que je peux faire

avec les organismes et ministères. Et, jusqu'à date, on a fait des milliers

d'interventions, justement, pour s'assurer que les informations qu'on reçoit,

les tableaux de bord qu'on reçoit nous fournissent des informations qui sont

pertinentes et justes.

Mais je rajouterais

aussi qu'on a un projet de loi, le projet de loi n° 82. On est en étude

détaillée. Oui, on a la LGGRI, mais on a

aussi le p.l. n° 82, puis le p.l. n° 82 va nous permettre

d'avoir des outils qui vont être plus pertinents, justement, pour s'assurer d'avoir une meilleure

gestion puis une meilleure gouvernance, parce qu'évidemment je souhaite

la collaboration de mes collègues pour pouvoir avancer, justement, au niveau de

ce projet de loi là.

Le Président (M.

Simard) : Très bien. Mme la députée.

Setlakwe : Merci. Bien oui, bien entendu, je parle du tableau de bord

de votre ministère, celui qui porte, là, sur

les nombreux projets en ressources informationnelles. On comprend que ce ne

sont pas tous les projets qui se retrouvent sur le tableau de bord, mais

il y en a quand même une quantité importante, des projets importants.

Et puis je suis

certaine que vous avez pris connaissance des articles récents dans La Presse

sous la plume de Charles-Éric Blais-Poulin.

Il s'est intéressé au tableau de bord. Évidemment, moi, comme députée de

l'opposition, avec mon équipe, on

s'intéresse au tableau de bord aussi. C'est notre façon de pouvoir suivre les

chantiers importants, et les suivre

pour voir, pour constater, pour surveiller — c'est notre rôle — est-ce qu'il y a des dépassements de coûts

importants, est-ce qu'il y a des délais indus, est-ce qu'on dépasse les

échéanciers qui étaient prévus.

Encore une fois, mon

regard n'est pas tourné vers le passé, vers SAAQclic, mais il faut avoir à l'esprit

ce qui s'est passé dans ce dossier-là, les

constats de la Vérificatrice générale, ses recommandations, et s'assurer que,

pour les autres chantiers, bien, on tire des leçons puis qu'on s'assure

d'une reddition de comptes adéquate, on s'assure que les voyants clignotent au moment opportun et que les

décideurs soient avisés qu'il y a des enjeux, qu'il y a des problèmes,

tout ça, si on veut espérer regagner la confiance du public.

Et ce qu'on a... ce

qu'on constate, c'est que, même avec tous les voyants au vert dans le tableau

de bord, un projet peut être suspendu pendant plus de 600 jours sans que

personne ne soit alerté. Ici, je réfère au Projet urbain de radiocommunication, PUR, suspendu pendant

633 jours. Ça, c'est un exemple frappant, là, où tous les voyants étaient

au vert, comme si le projet progressait

comme prévu, mais votre outil de reddition de comptes masque actuellement ce

type de dérives.

Vous

avez pris... sûrement pris connaissance de cet exemple-là, qui a fait l'objet

d'une... de la revue de presse. Qu'est-ce que vous en pensez? Et

qu'est-ce que vous avez posé comme gestes?

M. Bélanger :

Bien, moi, j'ai... Sur le nombre de projets, parce qu'il y en a quand même

un millier, il y en a qui sont en étape de

dossiers d'affaires, planification. J'ai 209 projets qui sont actifs. Sur

les 209 projets qui sont actifs, je

vais dire les bonnes nouvelles, là, il y en a 134, projets, là, qui arrivent

bientôt à terme puis qui sont sous les budgets par 114 millions.

Ça, c'est les prévisions, 114 millions sur les...

Setlakwe : ...les données que vous venez de mentionner sur...

M. Bélanger :

134 projets, qui représentent

114 millions sous le budget prévu, sur les 209 projets en exécution.

Puis c'est certain qu'il y a des projets qui représentent des dépassements de

coûts potentiels, mais, pour le moment, je n'ai autorisé aucun dépassement de coûts, je n'ai déboursé aucune somme

au PQI-RI pour couvrir des dépassements de projets.

Mme Setlakwe :

Est-ce que vous estimez

qu'actuellement les mises à jour du tableau de bord sont adéquates et

respectent les exigences légales?

M. Bélanger :

Qu'est-ce que vous entendez par exigences légales?

Setlakwe : Les mises à jour. Les mises à jour.

M. Bélanger :

Bien, je vais répondre peut-être à votre première question.

Setlakwe : Bien là, je vous avais demandé, tout à l'heure, de

commenter un projet, le Projet urbain de radiocommunication, qui était inactif,

suspendu pendant plus de 600 jours sans qu'il n'y ait aucun voyant qui indiquait un tel problème. Et là je vous

demande... Je n'ai pas eu de réponse à ça. Je vous demande si... pourquoi

certains projets ne reçoivent aucune mise à jour depuis plus d'un an,

alors que la loi exige une reddition annuelle des coûts et des échéanciers? Donc, je vous demandais :

Est-ce que vous êtes satisfait des mises à jour? Est-ce que, vous, vous posez des

gestes pour s'assurer que les exigences soient respectées?

Le Président (M.

Simard) : Merci. M. le ministre.

Bélanger : Je vais répondre à la question : Est-ce que

je suis satisfait des mises à jour ou des informations? Je vous dirais que je questionne les 209 projets

qui sont actifs, en ce moment, un par un. Donc, il y a un plan d'analyse au

niveau de ces projets-là.

Pour le projet en particulier, qui est

le projet PUR, je laisserais le sous-ministre adjoint répondre. C'est lui qui est

responsable du projet. Il va pouvoir répondre à vos questions.

Président (M. Simard) :

Alors, y a-t-il consentement à cet effet? Vous avez... Vous donnez le

consentement, chère collègue?

Setlakwe : Oui, pour une réponse courte, s'il vous plaît.

Le Président (M.

Simard) : Très bien. Monsieur, veuillez d'abord vous présenter.

M. Roussy (Dave) : Bonjour. Dave Roussy,

sous-ministre adjoint à la télécommunication et au centre de service.

Le Président (M.

Simard) : Alors, brièvement, je vous prie.

M. Roussy

(Dave) : Très rapidement. Le projet PUR, dans le fond, c'est un projet

qui a été mis en suspens dès le début pour

repositionner l'approche du projet. Mais sinon, les mises à jour... Le projet a

redémarré, et les mises à jour, au tableau de bord gouvernemental, sont

à jour.

Le Président (M.

Simard) : Très bien. Mme la députée.

Setlakwe : Merci. Est-ce que, M. le ministre, il y a certains projets

qui sont fractionnés en plus petits lots

pour justement... à s'assurer que les voyants restent au vert et que, si, par

contre, tout était fusionné et qu'il n'y avait pas ce fractionnement artificiel, il y aurait donc des indications que

les projets sont... ont des voyants jaunes ou rouges? Est-ce que c'est

une pratique que vous observez?

M. Bélanger :

Ça fait

partie de mes analyses. Pour le moment, je ne peux pas conclure,

mais j'analyse toutes les possibilités, pas uniquement de fragmenter les

projets, mais d'utiliser... que ce soient les budgets de maintenance ou les

budgets d'opération suite à la réalisation du projet.

Donc,

pour l'instant, je suis encore en analyse là-dessus, au niveau de chaque

projet, et je vais m'assurer, là, que ça suit les règles de l'art.

Mme Setlakwe :

Est-ce que... Oui. Et vous allez

donc le faire à court terme, je présume? Parce que la Vérificatrice

générale, c'est justement de ce type de situation, là, dont elle s'inquiétait.

M. Bélanger :

Bien, moi, je vous dirais que je suis inquiet et prudent sur la capacité de

gérer les projets, les 209 projets qui

sont en exécution actuellement avec des organismes publics et ministères, etc.

Quels sont les pouvoirs du ministère de la Cybersécurité et du

Numérique? Je qualifierais ces pouvoirs-là de limités. J'ai un pouvoir d'audit.

Je peux faire des interventions. Je vous

dirais qu'à ce jour, on en a fait un millier, de différentes interventions. Ça

peut être des lettres, ça peut être des avis, ça peut être des demandes

d'information, mais, pour moi, ce n'est pas suffisant. Je ne suis pas satisfait

de cette façon-là. Et on a le projet de loi n° 82. Le projet de loi

n° 82 nous donne des outils additionnels. Est-ce qu'ils vont être

suffisants? Probablement pas, probablement pas.

Le Président (M.

Simard) : Merci.

M. Bélanger :

Je vais peut-être vouloir rajouter, justement...

Le Président (M.

Simard) : Merci, M. le ministre. Mme la députée.

Setlakwe : Merci. Votre ministère affirme que tout projet de plus de

500 000 $ doit figurer dans le tableau de bord avec un suivi

rigoureux. Là, vous avez parlé d'un certain nombre de projets actifs que vous

suivez de façon particulière. Ce matin, vous

étiez avec moi, donc, en période des questions, on a entendu le premier ministre,

dans un échange avec le chef de

l'opposition officielle, parler qu'il y avait pour 100 millions de

dépassements de coûts sur des projets totalisant 2,5 milliards.

Comment est-ce que vous expliquez la réponse du premier ministre ce matin?

M. Bélanger :

Bien, nombre de projets qui sont

en... Il y a 209 projets actifs. Il y a 2,4 milliards... Ça

représente 2,4 milliards de

budget. Je vous ai dit tantôt, au niveau des budgets qui étaient... j'avais

au-dessus d'à peu près 100 millions de projets, là, qui vont être sous les budgets. Je suis encore à faire

des analyses, justement, sur les dépassements de coûts potentiels sur certains projets, mais je n'ai

absolument autorisé aucune somme pour pallier aux dépassements de coûts,

s'il y a lieu, des projets.

Mme Setlakwe : Je comprends. Mais donc

est-ce que vous confirmez l'information qu'on a reçue ce matin, que les

dépassements de coûts sont de l'ordre de 100 millions, ou est-ce que

c'est... ils sont plus importants?

M. Bélanger : Bien, je ne peux pas confirmer le chiffre. Je

peux confirmer le chiffre... Moi, le chiffre que j'ai, c'est au niveau

des montants qui sont en dessous des budgets. Ça fait que j'ai un... j'ai comme

une banque négative de

100 quelques millions sous les budgets sur les projets qui sont en exécution.

Les projets qui sont... qui pourraient être en dépassements de coûts, qui sont hors du ministère de la Cybersécurité

et du Numérique, que ça vienne de la Santé ou que ça vienne d'autres ministères, je suis en étape d'analyse, pour le

moment, de l'information qui m'est acheminée pour voir la pertinence et

voir l'exactitude des informations que je reçois.

Le Président

(M. Simard) : Merci. Mme la députée.

Mme Setlakwe : O.K. Merci. Donc, vous répondez à l'inverse,

qu'il y en a un certain nombre qui sont sous les budgets. Mais, ceux qui sont

en dépassements de coûts, est-ce que vous savez d'où venait ce chiffre de

100 millions qui a été affirmé par le premier ministre ce matin?

Vous n'êtes pas capable de le confirmer. C'est ce que j'ai compris?

M. Bélanger : Ah! je ne le sais pas. Peut-être que, le

100 millions, c'est une évaluation au net en dépassements puis sous

les budgets. Mais je n'ai pas les chiffres précis, je vous dirais, au niveau

des projets qui pourraient être potentiellement en dépassements de coûts. Je

n'ai accordé aucun dollar pour pallier à des dépassements de coûts au niveau

des budgets.

Mme Setlakwe : Sur le tableau de bord, quand on parle du Système

d'information des finances, de l'approvisionnement

et des ressources humaines, SIFARH, sous Santé Québec, il semble y

avoir, je ne sais pas si vous pouvez nous l'expliquer, un dépassement

important entre le coût autorisé et le coût estimé. Quel est le dépassement de

coûts le cas échéant?

M. Bélanger : Nous sommes actuellement en analyse sur le projet

qui... je l'appelle le projet SIFARH. Donc, nous avons des échanges avec Santé Québec... le ministère de la Santé, mais aussi Santé Québec pour...

justement, sur ce projet en particulier.

Mme Setlakwe : Le chiffre de 430 millions, comment

l'expliquez-vous? Il est indiqué à votre tableau de bord.

M. Bélanger :

430 millions, c'est le coût estimé avec le coût autorisé à

202 millions. Donc, il y a un écart... effectivement qu'il y a un écart,

mais moi, je n'ai autorisé aucun dépassement de coûts. Il n'y a eu aucune somme

qui ont été déboursées. Donc, actuellement,

je suis en analyse sur ce projet-là en particulier pour être capable d'obtenir

des informations précises, s'il y a

dépassement de coûts, il est causé à... quelles sont les raisons du dépassement

de coûts et quel est le montant. Mais

je n'ai autorisé absolument aucun dépassement de coûts en termes de déboursé

pour l'instant.

Mme Setlakwe :

Mais quelqu'un qui veut suivre le tableau de bord se dit : Bon,

aujourd'hui, le projet est estimé à 430 millions avec un taux d'avancement

du projet de 12 %. Votre tableau de bord, il est difficile à suivre, M. le ministre. Il semble être difficile à suivre

pour vous aussi, là, ou vous n'êtes pas capable de confirmer certains chiffres?

M. Bélanger :

Je peux vous dire qu'il y a des analyses qui se font au niveau de ce projet-là

en particulier, des analyses précises. Puis je vais m'assurer que les

informations que je reçois vont être précises et pertinentes.

Mme Setlakwe : J'ajouterais un autre exemple, la vitrine Dossier

santé numérique. Ce sont les projets

pilotes... les deux projets pilotes : coût autorisé, 265 millions, coût estimé,

307 millions. Et, dans une liste de projets qu'on a reçue ce matin,

là, la page RP-18, on indique 122 millions pour la vitrine Dossier

santé numérique. Est-ce que vous avez... Est-ce que votre analyse pour la

vitrine de Dossier santé numérique est à jour aujourd'hui? Est-ce que vous...

M. Bélanger : ...puis ça, c'est une bonne nouvelle parce que ça

tombe dans mon ministère. Donc, je vais pouvoir vous donner des informations

plus précises puis je voudrais laisser la sous-ministre adjointe pouvoir

répondre à...

Président (M. Simard) :

Consentement à cet effet? Consentement. Alors, madame, pourriez-vous d'abord vous

présenter, s'il vous plaît?

Mme Martel (Mylène) : Oui, bonjour, M. le Président. Mylène Martel,

sous-ministre adjointe au dirigeant principal à l'information et à la

gouvernance.

Le Président

(M. Simard) : À votre écoute.

Mme Martel (Mylène) : Alors, votre question, Mme la députée, par

rapport au projet vitrine Santé... un projet de Santé Québec,

finalement. C'est un projet de Santé Québec?

Mme Setlakwe :

Oui, la vitrine Dossier santé numérique.

Mme Martel

(Mylène) : Oui, c'est ça, donc, c'est un projet qui actuellement est

au tableau de bord, donc, à 265 millions pour un coût autorisé et un coût

estimé à 307 millions.

Mme Setlakwe : Donc, il y a un

écart de 42 millions?

Mme Martel

(Mylène) : De 42 millions.

Mme Setlakwe : Et comment expliquez-vous

le chiffre? Comment on doit comprendre le 122 millions qui apparaît à la

liste qu'on a reçue ce matin, là, RP-18, tableau RP-18?

Mme Martel (Mylène) : Ce ne sera pas

très long, je m'y rends... faire vite et ne pas perdre de temps, puis là j'en

perds. Désolée.

Mme Setlakwe : Peut-être que vous

pouvez nous revenir pour qu'on puisse continuer.

Le Président (M. Simard) : Éventuellement,

oui.

Mme Setlakwe : Ce serait important.

Président (M. Simard) : Alors, Mme Martel, vous et votre équipe

pourriez chercher l'information demandée, et nous laissons à la députée

le soin de poursuivre avec les quelque 15 secondes qu'il lui reste.

Setlakwe : Un projet sur cinq affiche un voyant rouge, soit

47 projets sur 235. Là, on comprend qu'il y a une analyse en cours. À quel moment allez-vous

pouvoir fournir une mise à jour claire des projets qui sont en difficulté?

Le Président (M. Simard) : Alors,

très rapidement, pour ne pas trop emprunter sur le bloc suivant.

M. Bélanger : D'ici la fin du mois.

Le Président (M. Simard) : Très

bien. Alors, je vous remercie. Sur ce, je cède la parole au député de Maurice-Richard qui dispose de 16 min 37 s.

M. Bouazzi : Merci, M. le Président.

Très heureux d'être ici. Je vais peut-être commencer par les questions

d'intelligence artificielle et des données de nos enfants qui sont accumulées.

Il y a au moins 11 services scolaires qui

accumulent des données actuellement pour rouler apparemment un logiciel

d'intelligence artificielle pour prévoir qui est décrocheur ou pas. Les

données, donc, qui sont accumulées dans cette base de données, année après

année, contiennent le genre, l'âge, le lieu de naissance, le code de

difficultés d'apprentissage, d'adaptation,

handicap, la langue parlée à la maison, la scolarité des parents, les

résultats, le redoublement, l'école

fréquentée, l'indice de défavorisation, l'absence, les retards, les troubles de

comportement. Est-ce bien vrai, d'abord, M. le ministre?

Le Président (M. Simard) : M. le

ministre.

M. Bélanger : Bien, pourriez-vous

répéter la question? Je n'ai pas saisi. Au niveau des données...

M. Bouazzi : Actuellement, il y a de

l'intelligence artificielle qui est roulée sur les données de nos enfants dans le ministère de l'Éducation, où on accumule

toutes les données que je viens de vous dire, là. Je ne vais pas vous refaire

la liste, mais disons qu'elle n'est pas

exhaustive. Je comprends qu'elle va être recoupée avec d'autres données aussi,

dans une grosse base de données où, donc, on va accumuler les données

sur nos enfants. Est-ce que c'est vrai?

Bélanger : On est après faire l'inventaire de toutes les

données qui sont recueillies et ainsi que la classification au niveau

des données pour s'assurer que les données qui sont sensibles, que ce soit...

Un, premièrement, les données de type C, qui sont des données très, très

sensibles, doivent être entreposées sur le nuage gouvernemental souverain. Il y a des données qui sont de niveau moins

sensible ou des données non sensibles. On est après faire l'analyse, justement,

de façon à être capable de qualifier le

niveau de sensibilité, parce que, dans certains cas, peut-être que la

qualification n'a pas été bien faite, et pour s'assurer que ces

données-là sont entreposées de la bonne façon.

M. Bouazzi : Je veux juste être

clair, c'est des communiqués de presse de vos différents ministères qui nous

annoncent depuis déjà des mois que le genre, l'âge, le lieu de naissance, le

code de difficultés d'apprentissage, évidemment, la langue parlée à la maison,

les résultats scolaires, le redoublement, etc., est déjà accumulé.

Là, ce que

vous dites, c'est : Ça fait des mois que c'est accumulé, mais nous n'avons

pas encore fait la classification. Je

ne suis pas encore rendu où est-ce qu'ils sont hébergés, là, ça va être ma

prochaine question, mais est-ce qu'on peut au moins se mettre d'accord, vous

êtes au courant des communiqués de presse des différents gouvernements où on ramasse

des données sur nos enfants?

Bélanger : Vous comprenez qu'on ne parle pas de données qui

sont entreposées ou d'un projet qui est relié au ministère du Numérique

et de la Cybersécurité. C'est le ministère de l'Éducation... On est dans

l'étude détaillée du projet de loi n° 82 qui permet d'avoir plus de pouvoirs et de moyens, justement, pour

s'assurer que les projets, que ce soit collecte de données, des projets

qui utilisent l'intelligence artificielle ou des projets en technologie, soient

conformes. Et, à ce

moment-là, je pourrai... à ce moment-là, je pourrai vous répondre de façon plus

précise, mais, pour l'instant, si vous me posez la question, est-ce que

j'ai un moyen de m'en assurer à 100 %, la réponse est non.

M. Bouazzi : Bien, vous assurer de quoi? Déjà, est-ce qu'on a

porté à votre attention cette initiative d'intelligence artificielle ou

pas du tout?

M. Bélanger :

J'ai été sensibilisé, mais pas de

façon précise. Ça se passe au ministère de l'Éducation, puis il y a eu certainement l'étude des crédits au ministère de

l'Éducation. Ils ont pu répondre à vos questions. Si elle n'a pas eu lieu, je

vous invite à poser la question au ministère de l'Éducation.

M. Bouazzi : Donc,

est-ce que vous savez, donc, où sont hébergées ces données personnelles de nos

enfants?

M. Bélanger :

La réponse est non. Je vous dis qu'il y a un processus d'inventaire au

niveau de la collecte de données de

différentes initiatives, mais, encore là, il faut adopter le projet de loi

n° 82 qui va me donner les moyens de poser les questions et d'aller

chercher les informations au niveau des différents ministères et organismes

publics afin de s'assurer que c'est fait,

que les données sont entreposées dans les règles de l'art suivant le niveau de

sensibilité des données.

M. Bouazzi : Est-ce

que, M. le ministre, vous êtes en train de nous dire que, sans adopter le

projet de loi, on peut accumuler l'âge, le genre, les résultats scolaires, où

est-ce qu'on habite, quelle langue est parlée à la maison, les déménagements,

les adresses de centaines de milliers d'enfants québécois dans une grosse base

de données, et sans ce projet de loi, vous

n'êtes pas capable de nous garantir qu'on a bien classifié les données, on les

a mises dans un endroit sécuritaire?

M. Bélanger :

M. le député, il y a quand même

des éléments juridiques qui existent. La

loi sur l'accès à l'information, il y

a une évaluation qui doit être faite, justement, au niveau de la vie privée. Ça

fait qu'il y a des outils législatifs

qui existent et qui doivent être suivis. Vous me posez la question si c'est le

MCN qui doit s'assurer. Il y a quand même des lois qui existent déjà en

place pour s'assurer que la vie privée n'est pas violée.

M. Bouazzi : Est-ce qu'à votre connaissance le consentement des

parents est requis pour accumuler autant de données sur nos enfants?

M. Bélanger :

Je ne pourrais pas répondre à

cette question. Il faudrait demander au ministère de l'Éducation, mais,

pour l'instant, je n'ai pas la réponse.

M. Bouazzi : Je suis vraiment très étonné. Je vous informe, M.

le ministre, que le consentement des parents n'est pas requis pour

accumuler autant de données terriblement personnelles sur nos enfants.

N'importe quelle compagnie qui ramasse juste

un courriel, M. le ministre, un courriel, qui voudrait pouvoir l'utiliser, a

besoin d'un consentement au Québec.

Le gouvernement aujourd'hui ramasse toutes ces informations-là, là, les

résultats, le redoublement, les handicaps, l'adresse, le... si on prend le bus scolaire ou pas, etc., si on

déménage sur plusieurs années, sur des centaines de milliers d'élèves, et le

consentement n'est pas requis. Est-ce que vous pourriez peut-être vous engager

à ce que le consentement soit demandé aux parents qui veulent faire

partie de cette initiative?

M. Bélanger :

Il y a déjà un arrêté ministériel

qui existe, qui s'assure qu'au niveau de la collecte de données... qu'il n'y a

pas de préjudice, justement, au niveau de la collecte de données. Ça fait qu'au

ministère... Posez la question au ministère de l'Éducation, puis ils

suivent certainement les règles au niveau de la collecte de ces

informations-là.

M. Bouazzi : Et

vous, vous trouvez normal qu'on ne demande pas le consentement des parents.

M. Bélanger :

Non, je ne trouve pas ça normal

qu'on... mais je ne peux pas confirmer si le consentement a été demandé

ou pas. Ce que je confirme, c'est qu'il y a des règles qui existent, il y a des

lois et puis il y a des... il y a un arrêté ministériel qui oblige, justement,

cette vérification-là.

M. Bouazzi : Moi, je vous confirme que le consentement n'est

pas demandé. C'est pire encore, M. le ministre, même le... ce qu'on appelle le

«opt-out» dans l'industrie, c'est-à-dire la possibilité de dire : Bien,

moi, je ne veux pas en faire

partie... même je comprends qu'on ne me demande pas mon avis, mais je le donne

quand même, je ne voudrais pas qu'on

ramasse autant de données dans une base de données accumulées pendant des

années sur nos enfants. Est-ce que

vous trouvez ça normal que des parents ne puissent pas juste refuser que les

données de leurs enfants, que leur adresse à eux, parce qu'ils y habitent, que la langue qu'ils parlent à la

maison, que la situation... l'indice de défavorisation, etc., du

quartier soient accumulés?

M. Bélanger : On a eu la réponse, parce

qu'on a posé la question au ministère de l'Éducation. Ça fait qu'on vient

d'avoir la réponse. Je suggérerais que ma sous-ministre...

Président (M. Simard) : ...consentement pour Mme Martel?

Consentement. Alors, Mme Martel, je vous en prie.

Martel (Mylène) : Alors, merci. Effectivement, en fait, à chaque fois

que nous utilisons différents outils et qui

utilisent maintenant l'intelligence artificielle, il y a vraiment une démarche

très structurée pour venir évaluer les

données qui sont stockées... les données qui sont collectées et stockées pour

respecter, finalement, qu'est-ce qui est prévu à la

loi sur l'accès à l'information, notamment par la démarche

structurée d'évaluation des facteurs à la vie privée.

Donc, pour savoir

s'il y a effectivement consentement qui est donné comme tel, évidemment, on

pourra demander au ministère de l'Éducation, mais la démarche a été faite avec

sérieux, en respectant, et je le confirme, les énoncés de principe qui ont été pris par arrêté ministériel également,

l'été dernier, en matière d'intelligence artificielle. Donc, lors de la collecte, que l'on a faite

également en vertu de l'arrêté ministériel qui a été pris en février dernier,

on est allé vérifier si l'ensemble des droits étaient respectés.

M. Bouazzi : Je vous entends, mais c'est une très, très longue

réponse pour dire pas grand-chose, là. Parce que ce que je vous dis, donc, est vrai, juste pour que les gens qui nous

écoutent soient clairs, on ramasse toutes ces données-là personnelles

sur nos enfants, et d'ailleurs une

partie sur les parents aussi parce que c'est

la même adresse, etc., qu'il n'y a jamais personne à qui on a demandé le

consentement et que tout ceci est accumulé de manière non anonymisée dans une grosse base de données consolidée. On ne

sait même pas si elle est chez Amazon ou Microsoft où, en plus, le CLOUD Act s'appliquerait, et donc le

gouvernement Trump pourrait y avoir accès sans nous prévenir, sans nous

demander notre avis. Ça, c'est un

fait. Ce que vous nous dites, c'est légal. Bon, j'entends. Est-ce que, M. le

ministre, vous trouvez ça normal?

peut aller plus loin, là. Est-ce qu'on peut s'engager à ce que, même si c'est

légal, c'est scandaleux que ce soit légal,

honnêtement, mais, même si c'est légal, que le ministère pourrait aller plus

loin et dire : Oui, je vais demander le consentement aux parents avant de

ramasser les données personnelles pendant des années sur des centaines de

milliers d'enfants québécois?

Le Président (M.

Simard) : Merci. M. le ministre.

M. Bélanger :

Lors de l'étude détaillée du

projet de loi n° 82, on a eu, justement, des discussions au niveau

des données sensibles et puis quelle était l'intention au niveau des

données sensibles, où elles devaient être entreposées pour s'assurer qu'elles ne prêtent pas flanc, que ce soit au niveau du

CLOUD Act, PATRIOT Act, de FISA. Et puis je peux vous

confirmer qu'il y a un inventaire des différentes données qui sont collectées

aujourd'hui, et moi, je veux m'assurer que ces données-là soient protégées.

Je vous dirais

aujourd'hui : Est-ce que le gouvernement américain a des intentions

d'aller chercher les données au niveau des parents, au niveau des étudiants? Je

ne peux pas confirmer ça. Est-ce que la possibilité est là? On le sait tous que la possibilité est là. C'est

pour ça qu'on est après, justement, travailler sur une stratégie de souveraineté

numérique pour s'assurer, justement, que les données qui sont sensibles... que

les données qui sont sensibles soient entreposées ici de façon sécuritaire. On

a déjà un nuage gouvernemental qui est en place, donc on s'assure qu'il va

avoir la capacité pour, justement, héberger beaucoup plus de données. Donc,

c'est un processus qui est... c'est un processus qui est en cours, M. le

député.

M. Bouazzi : Combien

il me reste de temps, M. le Président?

Le Président (M.

Simard) : Cinq minutes, cher collègue.

M. Bouazzi : Excellent. Alors, bon, vous parlez du projet de loi n° 82. Je rappelle quand même, M. le ministre, que nous avons

proposé des amendements pour que les données personnelles associées à

l'identité numérique des Québécois ne soient

pas stockées dans des infrastructures qui soient assujetties à des lois

étrangères, exemple Amazon ou Microsoft, avec le PATRIOT Act et le

CLOUD Act, et ces amendements ont été refusés à date. Ça fait que vous avez quand même la possibilité d'héberger les

données personnelles des Québécoises et Québécois sur des clouds

assujettis à des...

Donc,

j'entends et je n'entends aucun engagement. Moi, je ne vous parle pas si c'est

sécurisé, mais je n'entends aucun

engagement. Juste de demander aux parents québécois s'ils sont d'accord pour

qu'on accumule des données sur leurs

enfants, pour qu'ils donnent leur consentement, il n'y a aucun engagement de

votre gouvernement. Est-ce que vous vous engagez au moins à évaluer la

possibilité de rajouter un consentement des parents?

M. Bélanger :

M. le député, on s'est entendu, lors de l'étude détaillée, d'avoir les

consultations appropriées pour quel type de

données qu'on allait récolter. Donc, lors du processus de consultation, on va

s'assurer que les données qui sont...

qui peuvent être sensibles soient entreposées de façon sécuritaire et qu'ils ne

prêtent pas flanc au... à un accès potentiel de... malveillant de la

part d'un État étranger.

M. Bouazzi : Est-ce

que, M. le ministre, il y a une pratique qui permet d'avoir des données

personnelles 100 % sécuritaire?

M. Bélanger :

S'il y a... Je ne saisis pas votre...

Bouazzi : Est-ce qu'il y a

moyen de stocker des données, d'avoir des données personnelles, par exemple, de

nos enfants, qui soient stockées de manière 100 % sécuritaire?

M. Bélanger : Il

y a tout à fait les moyens de stocker des données qui sont sensibles,

personnelles, de façon sécuritaire.

Bouazzi : Alors, je vous informe, M. le ministre, que non,

aucune solution n'est 100 % sécuritaire, à

part celle qui consiste à ne pas accumuler les données. Moi, si je

veux que les données de mon enfant ne se fassent pas voler, bien, la

meilleure manière d'y arriver, c'est de refuser qu'on les accumule. Parce que,

je veux dire, sans vouloir dénigrer les capacités techniques de bien du monde,

il y a l'armée américaine qui se trouve avec des «leaks» gros comme deux maisons, là, sur Internet, avec tous leurs

trucs les plus secrets au monde qui sont publics sur Internet. Ça n'existe

pas, des choses 100 % sécurisées.

Alors, en plus, ils sont dans le cloud des

Américains, c'est en plus un problème. Mais, si vous les mettez à double... dans un coffre-fort quelque part, il y a

quand même moyen de se faire voler les données personnelles. Et donc,

encore une fois, je vous demanderais, s'il vous plaît, M. le ministre, de vous

engager à ce que les parents puissent donner

ou pas leur consentement sur les données aussi personnelles. Si le privé est

obligé d'avoir un consentement pour utiliser

un courriel, je ne comprends pas comment un ministère peut accumuler autant de

données sans le consentement des parents.

Allons au

niveau de SAAQclic, donc, il y a eu une grosse panne hier et

avant-hier à cause, justement, du cloud de Microsoft Azure qui est tombé

en panne. C'est bien ça?

Bélanger : Bien, c'est... Oui, c'est bien ça. Je peux rentrer

dans le détail, si vous voulez savoir comment les serveurs ont contaminé les

autres serveurs, etc., ou...

M. Bouazzi : Non, ce n'est pas...

M. Bélanger : Non, c'est correct? O.K.

Bouazzi : C'est correct.

Est-ce que ça veut dire que les données de SAAQclic sont hébergées chez Azure

de Microsoft?

M. Bélanger : Je ne peux pas

confirmer que toutes les données sont stockées dans le nuage.

Bouazzi : Est-ce que les données de nos permis de conduire

sont stockées chez Azure de Microsoft, M. le ministre?

M. Bélanger : Je ne peux pas

confirmer que toutes ces données-là sont au niveau d'Azure. C'est...

M. Bouazzi : Est-ce qu'une

partie

des données des permis de conduire des Québécoises et Québécois sont hébergées

chez Azure de Microsoft?

M. Bélanger : Bien, il y a

certainement une

partie des données puis...

M. Bélanger : Mais, M. le député, je

pense... je réalise que votre préférence, c'est de n'avoir aucune identité

numérique, dans le fond.

Bouazzi : Non, non. On est revenu au sujet dont vous vouliez

parler depuis le début, c'est justement de ne pas les stocker. Là, je

suis d'accord qu'il faut...

Le Président (M. Simard) : En

30 secondes, s'il vous plaît.

Bouazzi : ...il faut

effectivement stocker les données des permis de conduire quelque part et là,

pour le coup, pas dans un cloud

américain. Est-ce que vous avez comme objectif de sortir ces données-là, à

terme, de la SAAQ, du cloud de Microsoft?

Bélanger : Tout à fait. Pour ce qui est des données

sensibles, l'intention est d'entreposer ces données-là dans le nuage

souverain. Pour les données sensibles, c'est un processus qui peut être...

Président (M. Simard) : Merci. Désolé, mais c'était le temps dont nous

disposions pour l'intervention de notre collègue de Maurice-Richard. Je cède maintenant la parole à la députée de

Mont-Royal, qui dispose d'environ 20 minutes.

Setlakwe : Merci. Toujours au niveau du tableau de bord qui

nous permet de suivre les dossiers, vous avez fait une analogie, tout à

l'heure, qui est intéressante, là, avec l'ouverture d'une pastèque, un projet...

disons que la pastèque, c'est le projet qui

semble être... dont les voyants semblent être au vert. On ouvre, on creuse, on

fait une analyse, comme vous êtes... vous avez mentionné que vous êtes en train de faire,

et pour laquelle vous allez fournir des résultats avant la fin du mois

de mai. On ouvre la pastèque, bon, finalement, on peut peut-être constater que

la situation pose problème, qu'il y a des

pépins, que les voyants devraient être au rouge. Vous allez faire une mise à

jour du tableau de bord.

Mais vous, à l'interne, vous avez des données.

Là, ce que j'ai appris en lisant, encore une fois, un

article dans La Presse ,

très récent, 28 avril, Chantiers informatiques, Des «irrégularités»

dans le tableau de bord , Charles-Éric Blais-Poulin...

Il y a même dans cet article, bon, une ancienne employée ou un ancien employé

qui mentionne qu'il y a certains stratagèmes qui seraient utilisés dans

certains organismes pour éviter d'être dans le jaune ou dans le rouge. Ces irrégularités seraient observées par le MCN en

comparant le SIGRI, là, les informations d'avancement transmises au Système intégré de gestion des ressources

informationnelles, qui restent au sein de votre ministère. Mais, si on compare

ces informations-là à celles qui sont transmises au Tableau de bord des projets

en ressources informationnelles du gouvernement, ce qui est accessible à la

population, aux députés de l'opposition, aux journalistes, bien là, il y a des

divergences, il y a des irrégularités.

Est-ce que

vous vous êtes penché là-dessus? Est-ce que vous avez initié, par exemple, un

audit pour identifier ces écarts et pour corriger les cas où les voyants

seraient peut-être erronément au vert ou au jaune?

M. Bélanger : La réponse, c'est oui,

j'ai le pouvoir de faire des audits. Je ne peux pas vous dire aujourd'hui s'il y a des... parce qu'il y a quand même des

données qui peuvent être confidentielles, s'il y a des audits qui sont en train

de se faire, mais on a plus d'un millier d'interventions qui se sont faites au

niveau des différents projets.

Mme Setlakwe : ...milliers

d'interventions?

M. Bélanger : Pour l'année 2024‑2025,

plus de 2 000 interventions et suivis liés aux différents projets.

Mme Setlakwe : Et puis est-ce qu'il

y a un compte rendu de ces interventions-là? Quels sont les constats? Qu'est-ce

qui a été détecté?

M. Bélanger : Il y a des avis, il y

a des lettres, il y a des échanges et des communications qui se font entre le MCN

et les différents organismes et ministères pour assurer une meilleure reddition

de comptes puis s'assurer d'avoir la bonne information au niveau de certains

projets en particulier. Donc, c'est un processus qui est en cours, qui se fait.

Et puis, comme je vous disais, d'ici la fin du mois, je vais avoir quand

même... Ça fait, quoi, 65 jours, là, il

y a... milliers de projets, 209 en exécution, je prends le contrôle, mais je

vais avoir les informations assez pertinentes et un plan d'action en

conséquence pour s'assurer...

Le Président (M. Simard) : Merci.

Mme la députée.

Mme Setlakwe : Vous n'êtes

évidemment pas seul à conduire cet exercice, cette analyse, vous êtes entouré

d'une équipe. Est-ce que vous avez une équipe suffisante?

Bélanger : J'ai certainement la meilleure équipe. J'ai une

équipe très qualifiée. Ça a été dans les premières semaines, pour moi, un exercice... j'ai vraiment

apprécié la qualité de l'équipe. Mais évidemment, on a beaucoup de travail,

beaucoup de travail à faire. Est-ce que j'ai les moyens de mes ambitions? Pour

l'instant, la réponse, c'est non. On a le

projet de loi n° 82, puis certainement qu'après le projet de loi n° 82 il y aura d'autres éléments législatifs qui pourront peut-être donner des moyens plus efficaces de

mieux gérer les projets de technologies de l'information au gouvernement

et à travers les différents organismes publics.

Mme Setlakwe : Mais il y a deux

choses, là. Moi, je vois un exercice de suivi, un exercice d'analyse, un exercice de supervision de ce qui se passe dans

les ministères et organismes afin d'assurer que l'information qui est rendue

publique soit à jour, soit conforme, soit

adéquate. Et là je comprends, vous avez des ambitions aussi par rapport à un

certain nombre de chantiers, dont l'identité numérique. Là, vous voyez

la distinction, quand même, entre les deux.

Moi, je...

Ici, on est vraiment dans la reddition de comptes, le suivi des différents

projets de... par rapport aussi à ce qui apparaît dans le système

intégré de gestion puis de s'assurer que l'information qui est rendue publique

sur le tableau de bord soit à jour et

exacte. Donc, moi, quand je parle d'équipe... Puis je ne parlais pas de la

qualité des gens, mais je parlais... Est-ce que vous êtes... il y a

suffisamment de personnes, vous êtes assez nombreux?

C'est

important, là, le rapport de la Vérificatrice générale, essentiellement, si on

résume, là, porte sur l'encadrement, la gouvernance, le suivi, s'assurer qu'au

fil du développement d'un projet, surtout quand il y a des entreprises externes,

c'est souvent le cas, qu'il y ait une reddition de comptes, que l'information

soit transmise au bon moment, aux bonnes personnes.

Et, à cet égard-là, êtes-vous bien entouré, entouré de suffisamment de

personnes pour pouvoir suivre les projets majeurs?

M. Bélanger : Au

besoin, je peux aller chercher des personnes à l'externe. Exemple, si j'ai la

volonté de faire un audit pour un

projet en particulier, je vais aller chercher l'expertise. Vous aviez une

question tantôt, Mme la députée, sur le Dossier de santé numérique. On

aurait la réponse sur la question que vous avez posée, si vous voulez.

Mme Setlakwe : Oui, O.K.

Président (M. Simard) : Ça va?

Setlakwe : Oui, pour le montant, oui, s'il vous plaît.

Le Président (M.

Simard) : Oui. Alors, Mme Martel.

Mme Martel (Mylène) : Alors, j'ai trouvé.

Désolée pour tout à l'heure. Donc, c'est 122 294 000 $

qui est prévu pour l'année... qui

était prévu pour l'année 2024‑2025. Donc, c'est le budget annuel, sur le budget

total du projet.

Setlakwe : Merci. On va y revenir, au DSN. Merci pour cette précision.

Donc, le 122 millions, c'est ce qui a été dépensé sur un an.

Setlakwe : Merci. Justement,

tout à l'heure, M. le ministre, vous parliez de différents outils, différentes

interventions, des avis, des lettres. Encore, dans cet

article du

28 avril, on parle d'une lettre qui a été transmise par un sous-ministre,

dans votre ministère, aux organismes publics assujettis aux règles de

gouvernance «afin de rappeler l'importance de tenir à jour les informations

disponibles dans les états de santé» des projets. Est-ce que cette lettre pourrait être déposée à la commission? Est-ce qu'elle... vous pouvez la rendre publique, en fournir une copie? Puis

surtout... Oui, bien, je vais vous laisser répondre.

M. Bélanger :

Oui, tout à fait, je suis disposé. Je pense que cette lettre-là faisait

suite à des situations où on demandait de l'information, à un certain moment

donné, pour une date précise, et on ne l'obtenait pas. Donc, on a renforcé le

fait qu'on désire avoir les informations au temps opportun.

Le Président (M. Simard) : Donc,

j'ai compris qu'il y avait engagement afin de la transmettre à mon secrétariat?

M. Bélanger :

Oui, il y a un engagement.

Le Président (M.

Simard) : Superbe. Merci.

Mme Setlakwe :

Est-ce qu'en ce moment vous êtes

capable d'énoncer quels sont les mécanismes de suivi ou de sanction qui

sont mis en place ou est-ce que ça fait

partie de votre analyse?

M. Bélanger :

...préciser votre question, les processus de suivi et de sanction?

Mme Setlakwe :

Bien, si vous envoyez une lettre

à certains organismes qui... pour lesquels il y a une amélioration au

niveau des suivis et des redditions de comptes, bien, on envoie la lettre, on

fait quoi après? Quel genre de suivi faites-vous?

M. Bélanger :

Bien, c'est un suivi de

communication. Est-ce qu'il y a un pouvoir de sanction? Est-ce qu'il y a un

pouvoir d'interrompre un projet en particulier? La réponse est non.

Setlakwe : La réponse est non?

M. Bélanger :

La réponse est non.

Mme Setlakwe :

Si vous voyez qu'un projet

dérape, a des cafouillages, des dépassements de coûts, les échéanciers

ne sont pas respectés, vous n'avez pas le pouvoir d'y mettre fin?

M. Bélanger :

Non. C'est pour ça qu'on a le

projet de loi n° 82 puis on veut quand même... Le projet de loi n° 82

va permettre au ministre de la Cybersécurité

et du Numérique d'avoir certains pouvoirs accrus pour pouvoir s'assurer que les

projets sont mieux gérés et sont mieux gouvernés. Mais tout ça part du... de

l'élaboration des contrats. Il faut comprendre qu'au niveau de

l'élaboration des contrats, même le MCN n'a pas nécessairement le pouvoir... ne

participe pas à l'élaboration des contrats

avec les fournisseurs de services technologiques. Donc, c'est pour ça que c'est

important de terminer le projet de loi n° 82 pour pouvoir l'adopter puis

aller de l'avant avec les autres étapes.

Setlakwe : Après 65 jours en fonction, est-ce que vous considérez

que vous avez entre les mains une maison qui est en ordre ou vous n'êtes pas

capable de vous prononcer encore sur cette question-là?

M. Bélanger :

Je considère qu'au niveau du ministère de la Cybersécurité et du Numérique

il y a une équipe formidable, mais une équipe qui n'a pas assez de pouvoirs

pour s'assurer d'une meilleure gestion des milliers de projets qu'il y a un

petit peu partout dans les organismes publics et ministères.

Mme Setlakwe : La

loi constitutive du MCN remonte à quelques années, trois ans, puis il me semble

qu'elle a été modifiée. Il y a quand même

des pouvoirs additionnels qui ont été octroyés au ministre à la fin de 2023, je

crois. Et là ce que j'entends, c'est que l'équipe, aussi formidable

soit-elle, ne détient pas des pouvoirs adéquats. Est-ce que vous envisagez

d'ouvrir la loi encore une fois pour vous octroyer plus de pouvoirs?

M. Bélanger : Je n'élimine aucune

possibilité pour l'instant. On va adopter le projet de loi n° 82, puis,

par la suite, il y aura probablement

d'autres outils qui vont permettre une meilleure gestion. Je vous dirais que

mon désir, ce serait d'être... de participer à la priorisation des

projets. C'est tous des projets de transformation numérique. Il y a pour près de 9 milliards de projets

potentiels, il y a pour 2,5 milliards de projets qui sont en exécution. À

l'heure actuelle, est-ce qu'ils sont tous prioritaires au même niveau?

Je ne pourrais pas confirmer, mais je ne le crois pas.

Et mon

intention est d'être capable d'optimiser la mutualisation potentielle de

différents projets, parce qu'il y a des projets qui pourraient être... qui

pourraient bénéficier d'autres organismes, et certainement participer à

l'élaboration de certains contrats au niveau des technologies de

l'information, pour s'assurer qu'il n'y a pas de dépassement de coûts puis

qu'ils sont livrés à temps avec un partage de risques avec les fournisseurs.

Le Président (M. Simard) : Merci,

cher collègue. Mme la députée.

Mme Setlakwe : Auprès de chaque

organisme, il y a un dirigeant de l'information, puis là il y a un dirigeant

principal de l'information qui relève de votre ministère, puis qui agit comme

chien de garde de l'intégrité numérique de l'État, donc, mais... Or, face aux irrégularités qui sont rapportées dans le suivi des

projets, quel rôle concret a-t-il joué, le dirigeant principal de l'information,

dans l'identification ou la correction de ces pratiques?

Bélanger : Il y a un certain rôle d'imputabilité. Je vous

dirais que c'est... je vous dirais que c'est variable entre les organismes et les différents ministères. Dans

certains cas, les... on a les réponses aux questions, aux questions que l'on pose,

dans certains cas, c'est... on doit insister ou revenir à la charge.

Mme Setlakwe : Est-ce que le

dirigeant principal de l'information dispose des pouvoirs et des ressources

nécessaires pour remplir son rôle de façon crédible et indépendante?

M. Bélanger : C'est un... Il faut

comprendre que c'est un lien fonctionnel. Il n'y a pas... ce n'est pas un lien

hiérarchique, là, il ne se rapporte pas à moi. Mais je n'ai pas saisi votre

question parce qu'on me parlait en même temps, mais pourriez-vous répéter votre

question?

Setlakwe : Bien, on veut s'assurer... Puis, encore une fois,

je... pas dans l'optique de parler d'un dossier qui est sous enquête, le dossier SAAQclic, mais le rapport de

la Vérificatrice générale, qui contient des recommandations et qui invite à la prudence et à ce qu'on tire des

leçons pour les projets qui sont en cours, elle a parlé du rôle crucial du directeur... du dirigeant principal de

l'information. Alors, je vous demande : Est-ce que... Comment est-ce qu'il

intervient pour corriger les

irrégularités? Puis est-ce qu'il dispose de tous les pouvoirs et les ressources

nécessaires pour remplir son rôle de façon crédible et indépendante?

Bélanger : Dans le cas de SAAQclic, la SAAQ, vous savez, on

connaît l'historique, là, on peut parler de... au niveau de la LGGRI en 2014, etc. Je ne veux pas revenir... je ne veux

pas revenir là-dessus, c'est un dossier particulier, puis il y a une

enquête qui se fait au niveau de ce dossier-là. Ce n'est certainement pas de la

bonne façon, pour le ministère de la

Cybersécurité et du Numérique, d'être capable d'assurer une certaine

gouvernance au niveau d'un projet comme ça s'est passé au niveau de

SAAQclic.

Pour ce qui

est des autres projets, il y a un lien fonctionnel, il y a... on a une

direction au niveau de l'information qui est... au niveau des ministères

et différents organismes qui doivent répondre, qui doivent fournir

l'information pertinente de façon à

s'assurer d'avoir une bonne gestion de projet. Ceci étant dit, si on réalise

que le projet ne va pas de la bonne façon, je vous dirais que, pour

l'instant, les pouvoirs du ministère sont extrêmement limités pour agir sur, justement... pour remettre un projet sur les rails

en particulier. C'est pour ça qu'on va de l'avant avec le projet de loi

n° 82 puis c'est pour ça que je me garde la possibilité d'avoir

d'autres outils, par la suite, pour être capable de s'assurer... parce que c'est quand même des sommes importantes,

là. On parle de 9 milliards, globalement. Il y en a 2,5 milliards en exécution.

S'il y a des dépassements de coûts... bon, on a des bonnes nouvelles, il y a

certains projets qui sont sous les coûts, mais, bon, il peut y avoir des

dépassements de coûts.

Ça fait que le mandat que le premier ministre

m'a donné, c'est de s'assurer que les budgets sont respectés puis qu'ils sont livrés à temps. Pour l'instant,

de la façon comment ça se fait, non, je ne suis pas satisfait parce que les

projets ne se livrent pas à temps puis il peut y avoir des dépassements de

coûts. Donc, je vais prendre les moyens en conséquence.

Puis ça, ça part de la... au niveau de l'élaboration des contrats avec les

fournisseurs. Si les contrats sont un bar ouvert, bien, c'est certain

qu'on va avoir dépassement.

Le Président (M. Simard) : Cher collègue,

merci.

Mme Setlakwe : Vous venez de

dire : Si certains contrats sont des bars ouverts. Juste préciser votre

pensée là-dessus.

M. Bélanger : Bien,

je veux revenir un peu... une culture au niveau des entreprises de technologies

de l'information. Ça part... On peut partir

de loin, là, on peut partir du bogue de l'an 2000, on peut partir des

systèmes de... des systèmes d'entreprise de ERP, enterprise resource

planning, comme... que ce soit SAP ou Oracle. Souvent, ces projets-là requièrent

énormément d'investissements au niveau de la définition du projet, au niveau de

l'élaboration du projet, le dossier de projet et... mais ça, il faut s'assurer

que ce soit bien fait.

Par la suite, au niveau de l'élaboration du

contrat, bien, un partage de risques, parce qu'on parle quand même de sommes

significatives. Et, si le risque est uniquement d'un côté, si le risque est au

niveau du gouvernement, bien, c'est certain

qu'on va arriver à un dépassement de coûts. Donc, je veux m'assurer qu'au

niveau des contrats, il y a un partage de

risques, comme on est après le faire un peu au niveau des infrastructures dans

le transport, infrastructures routières, au niveau d'une approche plus

collaborative.

Donc, oui, je

ne suis pas satisfait, à ce moment-ci, sur le processus, que ce soit au niveau

de la planification des projets puis du suivi.

Le Président (M. Simard) : Merci.

Mme la députée.

Mme Setlakwe : Merci. La Vérificatrice

générale a clairement recommandé, en février dernier, de revoir la méthode de reddition de comptes pour les travaux

informatiques. Depuis que vous êtes en poste, qu'est-ce que vous avez fait,

concrètement, là, pour appliquer cette recommandation?

M. Bélanger : Bien, on est sur le

projet de loi... on est sur le projet de loi n° 82, l'étude détaillée,

mais j'ai surtout analysé les 200 quelques projets qui sont en exécution,

essayé de comprendre pourquoi il y a des retards, pourquoi, dans certains cas, il y a un potentiel de dépassement de

coûts... un potentiel de dépassement de coûts, je dis, et je vais arriver avec un plan d'ici la fin du

mois pour s'assurer que l'exécution... l'élaboration des projets, la...

prioriser les projets, et quels projets sont en priorité versus d'autres

projets, parce qu'il faut quand même s'assurer que ces projets-là aient comme

priorité première le service à la clientèle et qu'ils apportent des bénéfices.

Ce n'est pas uniquement une transformation numérique de tâches, c'est qu'il y

ait un bénéfice au niveau des citoyens.

Le Président (M. Simard) : Merci.

Mme la députée.

Setlakwe : Est-ce que vous avez eu des échanges formels avec

la Vérificatrice générale ou son équipe depuis le dépôt de son rapport?

M. Bélanger : Excusez-moi, je n'ai

pas...

Mme Setlakwe : Est-ce que vous avez

eu des échanges avec la Vérificatrice générale ou son équipe?

Setlakwe : Est-ce que vous avez sollicité leur expertise pour

revoir vos pratiques en matière de reddition de comptes?

M. Bélanger : Mais, au niveau de la

vérificatrice, il y a des membres de l'équipe qui ont eu des échanges,

définitivement, avec la vérificatrice, mais pas moi personnellement.

Mme Setlakwe : Est-ce que ces

échanges vont donner lieu à des changements législatifs?

M. Bélanger : Bien, je pense qu'on

va attendre au niveau du rapport, justement, sur SAAQclic. Il va y avoir des éléments qui vont être intéressants, mais, par

contre, je n'attends pas le rapport de septembre avant d'agir de... pour qu'il

y ait une meilleure gestion au niveau des projets d'informatique.

Le Président (M. Simard) : Merci.

Mme la ministre... Mme la députée, pardon.

Setlakwe : Oui, parce qu'il faut faire la distinction, là,

entre l'enquête, qui va faire la lumière sur ce qui s'est passé, qui savait

quoi, à quel moment, etc., et ces conseils, ces recommandations qui

s'appliquent aux projets futurs. Vous

êtes... Donc, je comprends, vous n'attendez pas en septembre pour mettre en

oeuvre les recommandations.

Bélanger : Non, je n'attendrai pas en septembre, je vais...

je veux me... je n'attendrai même pas à la fin de l'été.

Le Président (M. Simard) : Très

bien. En cinq secondes, s'il vous plaît.

Mme Setlakwe : Donc, le projet

n° 82, pour vous, va venir tout régler ou vous envisagez possiblement de

le bonifier davantage, justement, suite à

votre analyse et suite à votre... la prise en compte du rapport avec votre

équipe?

Le Président (M. Simard) : S'il vous

plaît, succinctement, M. le ministre.

M. Bélanger : Le

projet de loi n° 82 est un bon projet de loi. Est-ce qu'il va répondre à

toutes les questions, nous donner...

Le Président (M. Simard) : Très

bien. Je cède maintenant la parole à ma collègue de Fabre, qui dispose d'environ

neuf minutes.

Abou-Khalil : Merci, M. le Président. M. le ministre, chers collègues,

équipe ministérielle... Depuis quelques années, notre monde a amorcé une

transformation radicale. La transition numérique massive a déclenché un

bouleversement technologique sans précédent, propulsant nos sociétés dans une

ère d'hyperconnectivité et de matérialisation.

Sur ce virage, on ouvre des perspectives exceptionnelles en matière

d'innovation et de performance, mais il consiste également... un facteur

d'exposition accrue aux risques. Les acteurs malveillants, qu'ils soient

opportunistes, criminels ou étatiques, ils exploitent des failles systémiques,

les vulnérabilités logicielles et les comportements humains pour

compromettre nos données, nos infrastructures critiques et encore plus nos

démocraties.

Faire

face à cette menace grandissante... La cybersécurité ne peut plus être perçue

comme un enjeu secondaire ou purement

technique. Elle doit désormais être intégrée au coeur des stratégies

nationales, organisationnelles et industrielles, car aujourd'hui notre posture sécuritaire dans le cyberespace est aussi

vitale que notre défense physique dans un monde réel. Il ne s'agit plus

d'un choix, mais d'un impératif stratégique.

M. le ministre,

j'aimerais aborder le sujet de notre adhésion au FIRST, qui est le Forum of

Incident Response and Security Teams, une

première au Canada pour un gouvernement provincial. Cette adhésion démontre

notre leadership et notre vision pour réduire nos surfaces d'attaque

ainsi que notre action pour un monde libre et cybersécuritaire. Grâce au parrainage du Luxembourg et du

gouvernement du Canada, nous avons maintenant accès aux données sur les menaces et vulnérabilités de plus de

700 groupes d'intervention dans le monde, certaines de ces équipes de

sécurité faisant

partie de grandes entreprises et de gouvernements.

Notre

adhésion au FIRST fait

partie d'une offensive de notre gouvernement pour

sécuriser nos infrastructures numériques face aux menaces bien réelles

du monde virtuel. Cette offense a commencé il y a déjà plusieurs années avec la

création du Réseau gouvernemental de cyberdéfense, a entraîné la création du

ministère et se poursuit avec la participation du Centre gouvernemental de

cyberdéfense aux deux plus importantes simulations de cyberdéfense et cyberguerre

de l'OTAN, soit Locked Shields et Cyber Coalition.

Alors,

pour moi, adhérer au Forum Incident Response and Security Teams, FIRST, offre

une valeur stratégique et pratique en cybersécurité, telle que, par

exemple, le partage mondial des renseignements sur les menaces ou avoir une communauté de confiance entre experts en

renforcement de capacité de réponse aux incidents et, encore mieux, une

crédibilité et reconnaissance internationale.

Dans le monde où les

cybermenaces évoluent à un rythme sans précédent, il est impératif que notre

province soit non seulement vigilante, mais

stratégiquement préparée. Nous devons d'abord renforcer notre souveraineté

numérique. Cela signifie assurer la maîtrise complète de nos

infrastructures critiques, de nos centres de données aux réseaux

gouvernementaux, tout en mettant en place une gouvernance claire des identités

numériques et une classification rigoureuse

des actifs informationnels. Nos infrastructures essentielles, M. le ministre,

sont particulièrement vulnérables aux attaques de grande ampleur et

doivent faire l'objet de mesures de protection avancées telles que, par

exemple, juste pour en nommer quelques-unes, la bonne segmentation de réseau,

nos modèles d'architecture «zero trust» et la capacité de surveillance 24/7

doivent devenir des standards. Et, M. le ministre, on le fait déjà.

Par ailleurs, M. le

ministre, l'avènement de l'informatique quantique — c'est un sujet que

nous deux aimons pas mal jaser là-dessus — remet

en question les fondements mêmes de notre cybersécurité. Les systèmes de

chiffrement actuels comme que le RSA

ou le ECC, qui est le «elliptic curve cryptography», deviendront inopérants

face à la puissance du calcul quantique. Il est donc essentiel de

planifier dès maintenant des solutions de chiffrement postquantiques en s'alignant sur les recommandations du NIST, qui

est le National Institute of Standards and Technology, et les meilleures

pratiques internationales.

enfin, je suis fière que le Québec affirme son leadership international en matière

de cybersécurité et sécurité quantique. Pourquoi nous? Parce qu'on est

capables. En s'appuyant sur un réseau solide de partenaires comme FIRST,

les cercles nationaux et les consortiums de

cybersécurité, nous avons... nous pouvons bâtir un écosystème agile, innovant

et résilient. Et bien entendu, M. le ministre, la cybersécurité est un

processus car nous sommes toujours dans une course face aux acteurs

malveillants. Et l'adhésion au FIRST n'est pas une fin en soi, mais un autre

outil à notre arsenal de mesures pour

réduire nos surfaces d'attaque et augmenter notre résilience dans un monde qui

évolue à grande vitesse. Et très heureuse, M. le ministre, aussi, qu'on

a commencé à travailler là-dessus.

Alors,

M. le ministre, j'aimerais qu'on clarifie le pourquoi avons-nous eu besoin

d'être parrainés par le gouvernement du Canada pour adhérer au FIRST?

Le Président (M.

Simard) : Alors, merci, Mme la députée de Fabre. M. le ministre.

M. Bélanger :

Merci, chère collègue. Bien, on a demandé au... parce que ça prenait deux

parrains. On a demandé au Canada de... avec

le Luxembourg, puis on a justement... vous étiez avec moi, on a rencontré

l'ambassadeur du Luxembourg au Canada, je vais le rencontrer, probablement,

si... au mois de juin, avoir une rencontre avec le Luxembourg, qui sont un peu, comment je pourrais dire, les leaders avec

l'Estonie au niveau, justement, cybersécurité. On travaille avec nos collègues, justement, à Ottawa, pour... Donc,

c'est une des étapes, je ne dis pas qu'on... c'est l'étape, FIRST,

l'étape à suivre, mais c'est une des étapes, puis on avait besoin de deux

parrains. Donc, on est très fiers de cette situation-là.

Mais je vais en profiter

pour, justement, répondre à des questions parce que je connais la priorité au

niveau des... au niveau des collègues, là,

de Mont-Royal—Outremont et de Maurice-Richard, pour les

données de la SAAQ. Les données de la

SAAQ sont entreposées à la SAAQ, ne sont pas entreposées... ne sont pas entreposées

chez les GAFAM. Ça, c'est une réponse qui est importante.

Et, pour la

question : Est-ce que j'ai... Quels sont les moyens pour s'assurer d'avoir

une meilleure planification et une

meilleure gestion de projet? J'ai donné un mandat à l'interne, justement, à ma

sous-ministre adjointe, à mes côtés, pour s'assurer, là, de modifier les

règles de façon à avoir une meilleure planification, une meilleure gestion de

projet.

Le Président (M. Simard) : Merci.

Chère collègue, il vous reste encore 1 min 40 s.

Abou-Khalil : Alors... Merci, M. le Président. Alors, revenons au

FIRST, juste une autre seconde. Comment cette adhésion va nous aider

concrètement à sécuriser les données des Québécoises et des Québécois?

M. Bélanger : Bien, je vous propose

d'y répondre, chère collègue.

Mme Abou-Khalil : Non, non, je vais

vous laisser faire. C'est vous, le ministre. Allez-y.

M. Bélanger : Bien, on fait

partie

d'une organisation. Le Luxembourg est... le Luxembourg en fait partie, et ça

nous permet d'avoir des meilleurs moyens de sécurité, justement, pour s'assurer

de prévenir les attaques, parce que c'est

une des problématiques, à l'heure actuelle, au niveau des attaques. J'ai aussi

un collègue qui est sous-ministre adjoint, qui est responsable au niveau

de la cybersécurité. Et peut-être qu'il pourrait en rajouter un petit peu plus

au niveau de quels sont nos outils de façon... Mais, à l'heure actuelle, on...

je pourrais dire qu'on est quand même assez efficace au niveau des attaques. Je

ne sais plus le nombre d'attaques que nous avons, là. Il y a quand même des

chiffres, on a des chiffres, cette information-là, et on est quand même en

bonne position pour, justement, prévenir les attaques au niveau des... de nos

systèmes. Ça fait que je ne sais pas si...

Le Président (M. Simard) : En

30 secondes, s'il vous plaît.

Bélanger : Bien, en 30 secondes, bien, je vais

laisser... Je ne vais pas laisser le sous-ministre répondre, je vais laisser

ma collègue pouvoir poser ses autres questions.

Abou-Khalil : Bien, en fait, en 30 secondes, je ne peux pas

poser grand question. Mais moi, je veux juste vous dire, M. le ministre, que

moi, je suis très contente et fière de faire partie... que le Québec fait

partie de FIRST, parce que c'est très important d'avoir une base...

accès à une base d'experts, et une base de type de data qu'on peut vraiment

utiliser comme référence pour qu'on puisse tous s'outiller vers la cyberdéfense

nationale.

Le Président (M. Simard) : Très bien.

M. Bélanger : C'est une des

premières étapes. Il y a d'autres étapes à suivre.

Le Président (M. Simard) : Alors,

merci beaucoup. Je cède maintenant à nouveau la parole à la députée de Mont-Royal—Outremont.

Mme Setlakwe : Merci. En lien avec

la panne chez SAAQclic, qui semble être en voie d'être résorbée, vous avez dit que ce n'était pas la première fois que ça

se produisait, ce type de panne. Est-ce qu'il va y avoir des

dédommagements de la part de Microsoft? Vous avez dit que le problème était

vraiment auprès de Microsoft.

M. Bélanger : Je ne peux pas

confirmer s'il va y avoir... Mais tantôt, je mentionnais, au niveau des

contrats, justement, mon intérêt au niveau de... participation au niveau de

l'élaboration des contrats. Je n'ai pas la réponse aujourd'hui, mais c'est certain qu'on va faire l'exercice et on va

demander à la SAAQ de nous revenir. J'ai demandé un plan de contingence. Je vais leur exiger un plan

de contingence pour s'assurer qu'il n'y ait plus de rupture au niveau du service client, mais typiquement, au niveau des

entreprises informatiques, ils garantissent... moi, j'utilise le terme «uptime»

de 99... je ne sais pas, 99,9 % du

temps. Et, si c'est sur une base annuelle, je pourrais vous confirmer qu'il n'y

aura pas de dédommagement, si ça a été une journée, ou 24 heures,

ou 48 heures en panne.

Donc, c'est un peu une des problématiques où,

tantôt, je parlais de gestion de risques, de partage de risques. C'est souvent une des lacunes qu'il y a,

l'acheteur est... paie souvent 100 % de la facture, puis dans ce cas-ci,

bien, c'est le public, c'est le Québec.

Mme Setlakwe : Merci. Vous avez

mentionné un peu plus tôt que les données ne sont pas hébergées auprès de Microsoft. Là, on comprend qu'il y a

12 serveurs, que les 12 ont cessé de fonctionner. Moi, je suis un peu

perdue, là. À quoi ils servent, les serveurs, alors?

Bélanger : Bien, c'est quand même assez technique aussi, puis

je vais... il faut que je sois prudent, là, parce qu'il y a une douzaine

de serveurs, puis il y avait une modification, il y avait déjà une certaine

problématique qui existait.

Et puis il y a une correction qui a été faite par Microsoft, et cette

correction-là a fait que la correction sur le serveur en particulier a fait une contamination ou une

problématique au niveau des autres serveurs. Il y a eu une séquence qui s'en

est suivie. Mais peut-être que je pourrais laisser répondre... parce que j'ai

eu cet échange-là avec...

Bélanger : ...oui, avec

le... c'est un sous-ministre... avec

le sous-ministre adjoint, qui va pouvoir vous donner plus de détails, si

c'est des détails qui vous intéressent, là, pour...

Mme Setlakwe : Mais rapidement,

parce que, dans le fond, on a tellement de questions. Ce qu'on veut...

M. Bélanger : Bien, c'est les

applications, les applications entre autres, parce qu'il y a la bureautique

aussi. Ce n'est pas uniquement, là, ce n'est pas uniquement la question de

SAAQclic, parce que, dans le fond, le CASA et SAAQclic fonctionnent

bien. L'application fonctionne bien, elle est hébergée... Les données ne sont

pas hébergées sur Azure, mais

l'application est hébergée sur Azure, et les applications Microsoft sont

évidemment hébergées aussi sur Azure. Et la problématique était au

niveau...

Le Président (M. Simard) : Merci

beaucoup, M. le ministre. Mme la députée.

Setlakwe : Merci. Merci pour ces précisions. Vous avez dit

que la SAAQ utilisait des serveurs Azure Stack de Microsoft et que Microsoft

est responsable de la panne. Est-ce que le même type de solution Azure Stack

est utilisé ailleurs?

Bélanger : Je ne pourrais pas vous répondre, mais je sais

qu'on a plusieurs contrats avec Microsoft Azure, mais le type de contrat

et le type de service en particulier, je pourrais vous revenir...

M. Bélanger : Oui, il y en a à un

autre endroit, au niveau du NGQ.

M. Bélanger : NGQ, nuage gouvernemental.

Mme Setlakwe : Oh! le nuage

gouvernemental, mais ça, ce n'est pas votre nuage privé gouvernemental?

M. Bélanger : Je vais donner la

parole à Sylvain.

Président (M. Simard) : Alors, monsieur, auriez-vous d'abord l'amabilité

de vous présenter, s'il vous plaît?

M. Goulet

(Sylvain) :

Sylvain

Goulet, sous-ministre adjoint aux infrastructures technologiques et à la bureautique.

Le Président (M. Simard) : Nous vous

écoutons, monsieur.

M. Goulet (Sylvain) :

Oui, effectivement, nous

utilisons la technologie Azure Stack Hub. C'est une de nos deux technologies

qui est offerte dans le NGQ. Donc, c'est une des technologies qui a été

choisie, notamment, parce qu'au moment de faire les choix c'était une expertise

qui était très répandue au sein de la fonction publique. Donc, cette

infrastructure-là, ce service-là, il est hébergé dans le nuage gouvernemental.

Il est exploité, évidemment, par les équipes

du MCN, mais, oui, elle existe dans le NGQ. C'est une de nos deux solutions sur

lesquelles reposent les services du NGQ.

Le Président (M. Simard) : Très

bien. Mme la députée.

Setlakwe : Merci. Et donc, là, le nuage, c'est le nuage privé

gouvernemental, celui dont on parle dans nos échanges, dans le projet de loi

n° 82, celui pour lequel nous sommes... Quand on parle de notre

souveraineté numérique, c'est ça,

c'est de vouloir qu'on conserve les données sensibles dans ce nuage-là, sur

lequel on a le plein contrôle. Mais est-ce qu'on a le plein contrôle, si

on utilise Microsoft? Est-ce que...

M. Goulet (Sylvain) :

Tout à fait. En fait...

Président (M. Simard) : En vous rapprochant du micro, s'il vous plaît,

pour qu'on puisse mieux vous entendre.

M. Goulet

(Sylvain) :

Oui. Oui,

on a le plein contrôle. En fait, le nuage gouvernemental utilise des

technologies de fournisseurs, mais il est protégé des ingérences. On le

gère, il est dans nos infrastructures. Nous contrôlons les zones de gestion, nous les exploitons. On est

responsable du périmètre, de la sécurité du nuage. Donc, oui, on est en

contrôle à cet égard-là. Donc, c'est un nuage privé basé sur deux

technologies, dont celle de Microsoft.

Setlakwe : O.K. Merci. Donc... mais il pourrait y avoir une

panne. Donc, vous êtes sûrement à l'affût de... vous êtes intéressé de

comprendre ce qui s'est passé, en l'occurrence, là, à SAAQ, dans... à la SAAQ.

Parce que, s'il y avait une panne et que ça

affectait le nuage gouvernemental, est-ce que les conséquences seraient... ne

seraient-elles pas pires que les conséquences qui sont déjà assez

dramatiques à la... de venir interrompre la plateforme SAAQclic?

M. Goulet

(Sylvain) :

En fait,

je vais être rassurant là-dessus, le nuage gouvernemental est quand même

résilient. Il est établi sur deux sites, donc, avec des capacités de

communication qui permettent de boucler nos CTI, dont les deux sites qui hébergent le nuage gouvernemental.

Donc, à cet égard-là, il est résilient. On a la capacité de passer en mode

actif-passif, donc on est capable de relever

les actifs qui sont dans le nuage gouvernemental dans un court temps de

réponse.

Mme Setlakwe : Est-ce que... Et là

je comprends que les données ne sont pas sujettes aux lois qui ont une portée

extraterritoriale, les lois américaines qui ont une portée extraterritoriale.

C'est ce que je déduis de vos propos.

M. Goulet (Sylvain) :

Tout à fait.

Mme Setlakwe : Merci. Est-ce que...

Bien, moi, j'ai suivi, évidemment, j'ai suivi ce dossier-là, l'actualité, depuis deux, trois jours. Puis là, ce matin, on

avait l'expert en cybersécurité Steve Waterhouse qui commentait, comme d'autres l'ont fait, sur le fait que, bon, cette

panne a démontré une chose, c'est bien la dépendance du Québec à un fournisseur externe, Microsoft, en l'occurrence.

Et j'aimerais entendre le ministre, là, sur son plan de match pour justement

se défaire de cette dépendance.

Bélanger : Bien,

premièrement, on fait l'inventaire de... à connaître où les données sont

entreposées, est-ce qu'elles sont sensibles ou non sensibles. On est en

discussion aussi avec des partenaires, que ce soit au Canada ou que ce soit

aussi en Europe, sur quelles sont les stratégies souveraines en termes de

gestion, de gestion des données.

Ce n'est pas quelque chose qui se fait

rapidement, à court terme, de transférer les données d'un nuage à un autre nuage, qu'il soit souverain gouvernemental

ou qu'il soit public. Donc, c'est un processus et un plan d'action qu'on

est après mettre en place pour s'assurer que

des données qui sont sensibles... Déjà, à prime abord, des données classées...

des données classées C ne sont pas entreposées chez les GAFAM, mais il y a

des données qui sont d'une certaine sensibilité, qui sont probablement

entreposées au niveau des GAFAM. Ça fait qu'on veut s'assurer qu'elles vont

être entreposées au... dans le cloud gouvernemental souverain.

Setlakwe : Merci. Est-ce que Santé Québec a conclu un même

type de contrat avec la même entreprise, Microsoft?

Bélanger : Si, au niveau de Santé Québec, s'ils ont des

données ou si dans... au niveau de leurs contrats, vous parlez du

contrat avec Epic ou...

Mme Setlakwe : Est-ce qu'ils ont des

contrats avec Microsoft? Parce que, là, si... on pourrait se poser la

question : Est-ce que le système de santé pourrait connaître le même sort?

Tu sais, ce qui s'est passé cette semaine au niveau

de la plateforme SAAQclic a eu des impacts majeurs sur la population. Tout a

été paralysé pendant... puis ce n'est même

pas encore complètement rétabli, mais pendant quelques jours, mais imaginez si

ça se produisait avec le système de la santé.

M. Bélanger : Bien, moi, je veux

dire, Microsoft est... si je regarde dans l'échelle, là, est probablement le

numéro un, en termes d'ampleur des contrats, là. Donc, ils ont beaucoup de

contrats au niveau de... au niveau cloud.

Par contre, je vous dirais que ma

recommandation, au niveau de la SAAQ, était d'avoir en place un plan de

contingence, nonobstant où les données sont entreposées, que ce soit dans le

cloud gouvernemental, que ce soit avec Amazon ou que ce soit avec Microsoft. Il

y a toujours une possibilité de panne. Ça fait que ce que je déplore, ce que je déplore aujourd'hui, c'est qu'on ait été dans

une situation où il y a eu un bris de service. Parce qu'il n'y a quand même

pas de technologie qui garantisse à

100 % qu'on va être capable d'avoir une opération et un service client à

100 %. Donc, ça nous prend un plan de contingence. On peut avoir... on

peut décider d'entreposer les données dans des sites miroirs, à plusieurs endroits, plusieurs sites. On essaie de

maximiser le niveau de... le niveau d'assurance qu'on ait un temps d'opération

ou un «uptime» à 100 %, mais on ne peut pas garantir le 100 % absolu.

Mme Setlakwe : Merci. Mais, si vous

n'avez pas la réponse, M. le ministre, j'aimerais que quelqu'un dans votre

équipe fasse les vérifications, parce que, selon ce que je comprends, Santé

Québec, qui avait déjà un contrat de gré à

gré avec Microsoft pour un montant de 160 millions, octroyé en 2022,

28 avril... il semblerait qu'il y en a un nouveau qui vient d'être

signé, d'une valeur de 270 millions encore avec Microsoft.

Bélanger : C'est possible. C'est possible. Alors, je vais

vous revenir avec les différents contrats, là. Il y en a pour plus de

1 milliard, je pense, au niveau des contrats avec Microsoft et Amazon.

Président (M. Simard) : Donc, je comprends qu'il y a engagement afin de

soumettre les données à la commission.

Le Président (M. Simard) : Très

bien. Mme la députée, veuillez poursuivre.

Mme Setlakwe : Merci. Bon, écoutez,

je pense qu'il faut qu'on parle du Dossier de santé numérique et de la

gouvernance. Qui est responsable de la gouvernance du projet DSN? Est-ce que

c'est Santé Québec? Est-ce que c'est le MSSS, le ministère de la Santé, ou

est-ce que c'est votre ministère à vous?

M. Bélanger : C'est Santé Québec. Et

puis, pour ce qui est des contrats, je vais pouvoir vous donner les contrats

qui sont... qui passent par notre courtier en infonuagique de façon précise.

S'il y a des contrats au niveau bureautique, exemple, que Santé Québec donne

avec Microsoft, je n'aurai pas l'information. Il faudrait demander à Santé Québec, à ce moment-là. Éventuellement,

peut-être qu'on va avoir l'information au niveau de la bureautique aussi.

Mme Setlakwe : Merci. Donc, c'est

Santé Québec qui est responsable de la gouvernance du Dossier de santé

numérique. C'est un dossier... un gros chantier complexe, coûteux. Il est

estimé à 1,5 milliard sur 15 ans.

Mme Setlakwe : Comment vous allez

assurer une chaîne de responsabilité claire puis une reddition de comptes

cohérente... Bien là, j'allais dire entre les acteurs impliqués, là, mais on

comprend que c'est Santé Québec. Mais vous,

vous avez certainement, comme ministre... et le ministère de la Santé... de la

Cybersécurité et du Numérique doit certainement jouer un rôle dans ce

dossier-là.

M. Bélanger : Pour l'instant, je

vous dirais que, bien, on a un rôle de vigie et on fait

partie du comité de vigie au niveau du projet. Est-ce que c'est...

Pour moi, est-ce que c'est suffisant pour s'assurer que les projets vont être

réalisés à l'intérieur des budgets et dans

les échéanciers? La réponse, c'est non. Donc, je vais proposer des façons de

faire qui vont permettre une gouvernance et une gestion plus

participatives de la part du MCN.

Mme Setlakwe : La Vitrine DSN, donc

les... le projet pilote dans deux CIUSSS, il y a des indicateurs qui sont

publiés sur ce dossier-là au tableau de bord, mais qui sont... ils sont incomplets.

On voit un taux de progression de

15,7 %, mais aucun détail sur les retards ni sur les risques identifiés.

Est-ce que ça fait

partie de votre analyse? Est-ce qu'aujourd'hui vous

êtes capable de statuer, là? Est-ce que vous trouvez que c'est acceptable pour

un projet d'une telle ampleur?

Bélanger : Mais il n'est pas en rouge, pour le moment, là, il

est en jaune, puis c'est au niveau des... c'est en termes des coûts, ils

disent des coûts, 15,7 %.

Mme Setlakwe : Je pense, ça vaut la

peine ici de...

Bélanger : ...avancement est à 80 %, au niveau de

l'échéancier, c'est 29,4 % de dépassement de coûts, c'est ça.

Mme Setlakwe : Le dépassement est de

42 millions pour le moment?

Mme Setlakwe : Et là vous dites

qu'il est au vert.

M. Bélanger : Il est au jaune.

Mme Setlakwe : Il est au jaune.

M. Bélanger : J'ai dit qu'il était

jaune.

Setlakwe : Il est jaune. Désolée, c'est moi qui a mal... Oui,

effectivement, il est au jaune. Et puis vous dites que vous faites

partie du comité de vigie.

Mme Setlakwe : C'est un projet

ciblé, c'est comme ça qu'il est qualifié. Il est censé faire l'objet de mise à jour mensuelle. Est-ce que c'est le cas? Parce

que, selon ce qui était rapporté dans La Presse , l'article du

1er mars 2025, la dernière mise

à jour remontait à septembre 2024, mais nous, on a constaté qu'il y avait eu

une mise à jour à la fin mars, le 28 mars dernier.

Est-ce que vous comptez faire... Qu'est-ce que vous comptez faire pour vous

assurer que les mises à jour soient faites plus fréquemment?

M. Bélanger :

La dernière mise à jour est du 7 mai.

M. Bélanger :

Oui, 2025.

Setlakwe : Et puis... Oui,

effectivement, je l'ai sous les yeux, c'est mon erreur. On avait encore une

autre mise à jour, mais on est encore 15,7 %, c'est au jaune. Et, pour ce

qui est, par contre, du retard, ça, je trouve ça intéressant de voir qu'il

devait être... ce projet pilote devait être terminé pour la fin de 2022, et

maintenant on parle de fin mars 2026, c'est bien ça, plus de trois ans

de retard?

M. Bélanger :

31 mars 2026.

Setlakwe : Comment vous expliquez ce retard important?

M. Bélanger :

Je pourrais laisser ma

sous-ministre répondre, parce qu'elle fait quand même un suivi serré au niveau

de ce projet-là en particulier.

Le Président (M.

Simard) : Très bien. Mme Martel.

Mme Martel

(Mylène) : Oui, bonjour. Merci. En fait, ce projet-là a connu certains

retards puisque c'est dans la stratégie

d'acquisition, lorsqu'ils sont allés en vitrine inversée et en appel d'offres,

il y a... ils ont accusé un certain retard

pour avoir des soumissionnaires qui étaient conformes au projet qui avait été

annoncé. Donc, c'est ce qui explique le retard de... bon, d'environ deux ans,

un an et quelques mois.

Mme Setlakwe :

Merci. Récemment, la présidente

de Santé Québec s'est exprimée publiquement au niveau de ce projet. On affirme

être en dépassement de coûts de plus de 100 millions pour l'implantation

du DSN et du SIFARH, dont on a parlé plus tôt. Comment est-ce que vous

expliquez les causes de ces écarts?

M. Bélanger :

C'est deux projets qui sont sur le radar, puis on est en processus

d'analyse précise sur ces deux projets-là en particulier, surtout au niveau du

SIFARH...

Setlakwe : Si je me rapporte à l'affirmation du premier ministre ce

matin, en période de questions, il disait

que les dépassements de coûts étaient de 100 milliards...

100 millions, pardon, 100 millions, mais là on vient de parler de 100 millions au niveau du DSN et du

SIFARH. Il pourrait y avoir d'autres dépassements de coûts ou vous n'êtes

toujours pas en mesure de confirmer le chiffre qui a été fourni par le premier

ministre ce matin?

M. Bélanger :

Non, je ne peux pas confirmer le

chiffre, mais, comme je vous dis, j'avais une centaine de projets qui étaient

sous les coûts. Donc, on avait à peu près 118, je crois, 118 millions sous

les budgets. Ça fait que, si j'arrive

au net, si on fait une image ponctuelle, on se retrouve probablement à un

dépassement d'à peu près 100 millions sur des coûts de 2,5 milliards.

Mais c'est très ponctuel, mais, comme je vous dis, Mme la députée, je n'ai

autorisé aucun dépassement, déboursé

pour pallier à des dépassements de coûts, donc, aucun rajout, au niveau du PQRI,

pour assumer des dépassements de coûts au niveau de Santé Québec.

Setlakwe : Donc, forcément, vous allez être impliqué, là, s'ils ont

besoin de fonds additionnels, là, c'est vous qui allez le permettre ou non.

M. Bélanger :

Ah! je vous confirme que, oui, je vais être impliqué, oui.

Setlakwe : Est-ce que... Selon l'article, encore une fois, de La Presse ,

sur le tableau de bord, j'ai trouvé vraiment intéressant, certaines dépenses du

DSN ont été transférées vers des budgets d'exploitation réguliers des établissements. Il semblerait que c'est une

pratique qui a cours, là, il y a des dépenses qui sont... qui devraient être

allouées au projet, mais finalement, ça vient... c'est ça, c'est transféré vers

des budgets d'exploitation réguliers. Qu'est-ce que vous pensez de cette

méthode?

M. Bélanger :

Bien, je ne pense pas...

Setlakwe : Ça vient fausser la perception des coûts réels du projet,

dans le fond.

M. Bélanger : Je ne peux pas

confirmer, là, c'est... en anglais, je ne sais pas en français, en anglais,

c'est «assumption». Par contre, j'ai un

pouvoir d'audit, et puis, si je suis persuadé... ou s'il y a un risque que

cette pratique-là est utilisée, je vais passer par un audit pour m'en

assurer.

Mme Setlakwe : Est-ce

que, comme la P.D.G. de Santé Québec, vous confirmez que la problématique, elle

n'est pas avec le logiciel comme tel?

M. Bélanger : Ah! je ne peux pas

confirmer ça, que la problématique n'est pas avec le logiciel en particulier.

Président (M. Simard) : Très bien. Alors, merci. Je cède maintenant la

parole au député des Îles-de-la-Madeleine, qui dispose de 10 min 48 s.

Arseneau : 10 minutes. Merci beaucoup, M. le Président.

Merci, M. le ministre, de vous prêter à cet exercice. Je salue également

vos équipes. Je voulais revenir... parce qu'hier, au même endroit, nous posions

des questions non seulement à la ministre des Transports, mais également au

P.D.G. de la SAAQ, M. Ducharme, sur la panne. Vous en avez parlé brièvement tout à l'heure, mais j'aimerais quand même

savoir... sur la question des recours envers Microsoft, qui, essentiellement, a privé les Québécois de

services pendant plus d'une journée, plus de 24 heures, il y a des clauses

de pénalité, semble-t-il, au contrat. Est-ce

que vous allez regarder la possibilité de réclamer des dommages pour l'État,

mais également pour les citoyens qui ont été privés de services?

M. Bélanger : Tout à fait. J'ai

donné le mandat à mon équipe de travailler en collaboration avec la SAAQ pour justement voir, au niveau contractuel,

qu'est-ce qui peut être réclamé. Mais c'est la SAAQ qui va quand même les réclamer

parce que vous savez qu'ils ont quand même un certain contrôle de leur projet

qui leur a été donné.

M. Arseneau : L'autre élément, c'est

qu'on nous a dit qu'au moment où on est allé signer ce contrat, qui n'était pas

le même de CASA, de SAAQclic, Microsoft nous avait répondu : On n'a pas

besoin d'un site miroir, on n'a pas besoin

d'une redondance autre que les 12 serveurs. Est-ce qu'aujourd'hui, selon

votre évaluation, on a été mal informés sur les risques de sécurité de

ne pas avoir de sites miroirs ou de redondances autres que les

12 serveurs?

M. Bélanger : Il faudrait poser la

question à la SAAQ qui était en plein contrôle de leur projet. On sait très bien qu'il y avait eu une dérogation au niveau de

la LGGRI, donc, ils géraient leur projet eux-mêmes. Si vous me posez la

question : Quel est le niveau de sécurité qu'on devrait avoir au niveau

des sites miroirs?, ma réponse, c'est : Il faut optimiser le niveau de sécurité parce qu'il y a un coût énorme d'un

arrêt de services au niveau... il y a un coût énorme au niveau de la

population et c'est important.

Arseneau : Est-ce que ça ne soulève pas un peu le fait que,

comme on le déplore souvent, les grands du monde informatique nous

imposent un peu leurs solutions et leur argumentaire, et souvent même l'État du

Québec est un peu démuni? Si on vous dit : Bien, 12 serveurs, ça va

faire le travail, puis vous n'aurez jamais de problème, on n'a pas besoin de site miroir, on est un peu dépourvus

de les contredire, avec pour résultat que, pendant 36 heures, on n'a pas eu

de service.

Bélanger : Je ne peux pas juger. Je suis quand même surpris, sachant que ça représentait peut-être des coûts

supplémentaires, donc, ça peut être avantageux pour un fournisseur de s'assurer

qu'il y ait... que, justement, son service...

Puis je pourrais dire que les GAFAM ou, entre autres, Microsoft font

fonctionner plusieurs applications à travers le monde. Le niveau de service est quand même bon. On ne peut pas juger

que, du jour au lendemain, on aurait une solution qui pourrait être concurrentielle à ce que

Microsoft fait. Mais, par contre, avec les enjeux de souveraineté, je crois que

ça nous prend une stratégie, là, qui...

M. Arseneau : D'accord. Je n'ai pas

eu le temps de...

Président (M. Simard) : ...être exemplaires dans vos échanges, parce qu'on

est en présence de représentants du Parlement écolier, que nous saluons

tous. Bienvenue parmi nous, les amis.

Une voix : ...je pensais que c'était

pour moi.

M. Arseneau : Merci beaucoup. Et

bienvenue. J'espère que le 12 secondes que vous avez pris va être remis à

mon temps...

Le Président (M. Simard) : Oui, oui,

tout à fait, tout à fait. C'était sur le temps de la présidence.

M. Arseneau : ...mais on les salue

également, et j'espère qu'on sera exemplaires.

Je voulais mentionner que la panne étant

résolue, est-ce que, dans votre compréhension, le problème, il est réglé, ou on continue d'analyser pourquoi c'est

arrivé et mettre en place des pare-feux tous azimuts pour éviter que ça se

reproduise?

M. Bélanger : Loin de là, le

problème n'est pas résolu. Je suis inquiet. J'ai passé quand même deux nuits à faire un suivi, là, au niveau de la panne. J'ai

demandé à ce qu'il y ait un plan de contingence le plus rapidement possible

pour s'assurer que, s'il y a une panne dans

le futur, bien, que l'interruption, en termes de service, soit le plus court

possible.

M. Arseneau : Merci.

Le temps file à vive allure. On parle souvent de l'aspect numérique dans votre

ministère, M. le ministre, moins souvent de la cybersécurité. Vous

savez, ce matin, j'ai eu, en l'espace d'à peu près 1 h 30 s,

3 500 courriels qui sont arrivés dans ma boîte au bureau, bon, un

petit malin qui a voulu encombrer le travail de mon personnel. Ça a été vite

résolu, mais j'imagine que, sur le plan de l'État du Québec, il peut y avoir

des cyberattaques qui sont beaucoup plus

dommageables. On a posé les questions au ministère, à savoir combien il y avait

de cyberattaques par année, sachant

qu'Hydro-Québec, par exemple, a été la cible d'attaques, là. On a les chiffres,

on parle de 2021, il y en avait 76; 2022, 208; 364 en 2023; en 2024,

1 224. On a été surpris que le ministère nous dise : On ne vous donne

pas cette information-là. Est-ce que vous pouvez nous donner cette

information-là?

M. Bélanger :

Je vais être prudent, c'est

certain. Je vais laisser mon collègue répondre, mais fournir l'information

sur le nombre d'attaques, il y a peut-être un enjeu de sécurité par soi-même.

Mais je vais...

M. Arseneau :

...que, l'an dernier, avec votre

prédécesseur, on avait obtenu cette information-là. Alors, je suis

surpris que cette année... on ne parle pas d'informations nominatives ou de

chiffres très compromettants, mais de l'ampleur de l'enjeu pour qu'on puisse...

M. Bélanger :

À qui vous avez demandé l'information? Qui vous a dit non?

M. Arseneau :

En fait, c'est dans les cahiers,

lorsqu'on fournit les questions, un cahier de crédits, la réponse était négative. On sait aussi qu'il y a des cégeps,

comme Lanaudière, qui a vu ses activités perturbées par des cyberattaques.

On veut savoir l'ampleur du problème. Est-ce que c'est possible aujourd'hui de

l'obtenir?

M. Bélanger : On est assez fiers au

niveau de l'efficacité qu'on offre en termes de cybersécurité, mais je vais laisser

mon collègue répondre à la question.

Le Président (M. Simard) : Il

y a consentement? Consentement. Monsieur, pourriez-vous d'abord vous présenter,

s'il vous plaît?

M. Fournier (Yvan) : Oui, bonjour. Yvan

Fournier, sous-ministre adjoint au niveau de la sécurité de l'information

du gouvernement du Québec.

Alors, la dernière

question, c'était... Vous voudriez savoir au niveau du cégep?

M. Arseneau : Non. Je veux savoir

l'ampleur des cyberattaques envers l'État du Québec sur une base annuelle.

L'année passée, on nous a dit qu'il y en avait 200 par jour.

M. Fournier (Yvan) : En

fait, au niveau d'attaques, il y en a plus de 200 par jour. Au niveau de

cyberattaques réussies, il y en a beaucoup moins. Il y en a beaucoup

moins.

M. Arseneau :

Oui. Donc, il y en a qui réussissent?

M. Fournier (Yvan) :

Bien, vous les avez, ils ont tous été médiatisés, le cégep que vous parlez,

et tout ça.

M. Arseneau :

Ah! O.K. D'accord.

M. Fournier (Yvan) : Alors, lorsque ça

réussit, c'est toujours médiatisé. Celles-là, je peux vous expliquer, si vous

avez des questions particulières sur chacune des attaques... enfin, vous

répondre.

M. Arseneau :

Bien, en fait, parce que je

manque de temps... Mais est-ce que, comme Hydro-Québec, les chiffres le

démontrent, le problème va croissant? Est-ce que c'est le cas pour l'ensemble

de l'État du Québec.

M. Fournier

(Yvan) : Du gouvernement, absolument.

M. Arseneau :

Dans quel ordre en pourcentage?

M. Fournier (Yvan) : Depuis janvier, on a 15 %

d'augmentation de cyberattaques détectées, mais pas réussies.

M. Arseneau :

Pas réussies. Donc, est-ce qu'on

a un bilan de 100 % pour contrer les attaques depuis le début de l'année?

M. Fournier (Yvan) : Depuis le début de l'année, on en a eu quelques-unes, il y en a qui

ont été médiatisées. Ce n'est jamais

100 %. Ceux qui ont été médiatisés, ce sont, généralement, des attaques de

niveau 3, donc, assez important, soit du chiffrement, exfiltration de

données ou quoi que ce soit, puis ils sont médiatisés. Mais le nombre d'attaques,

on nous demande de ne pas le donner, le

nombre d'attaques. Ça pourrait inciter certains groupes d'utiliser nos

informations pour attaquer encore plus.

Arseneau : Merci beaucoup. C'est tout le temps que j'ai pour ce

volet-là.

J'ai une dernière

question ou un dernier bloc à l'intérieur de mon petit bloc. Les ressources

informatiques et la mise à niveau des logiciels ou des applications, là... de

fonctionnement de système, c'est-à-dire, Windows 10 va devenir,

essentiellement, caduc le 14 octobre prochain. J'aimerais savoir si on a

calculé les coûts de maintien de certains

équipements qui pourraient ne pas pouvoir supporter la version Windows 11.

Parce qu'on a déjà fait l'inventaire du matériel informatique du

gouvernement du Québec, et on parlait de près de 20 000 postes.

Est-ce qu'on va remplacer ces

20 000 postes là? Est-ce qu'il y en a une

partie qui sont déjà aptes

à prendre Windows 11? Sinon, combien ça va coûter? Parce qu'on parle de trois ans, là, sur trois ans,

366 $ américains, on va commencer à facturer une extension.

Avez-vous des provisions pour faire face à cet enjeu?

M. Bélanger :

Avant de passer la parole à ma collègue, est-ce que la question est pour le

ministère...

M. Arseneau :

Pour l'ensemble de l'État du Québec.

M. Bélanger :

Pour l'ensemble des organismes publics, ministères gouvernementaux?

M. Bélanger :

Je vais laisser ma collègue répondre à cette question.

M. Arseneau :

En 40 secondes.

Le Président (M.

Simard) : Oui, Mme Martel.

Mme Martel

(Mylène) : Oui. Merci. En fait, pour chaque ministère et organisme

public, ils doivent faire la planification des investissements et des dépenses

en ressources informationnelles. Dans ce cas-ci, c'est certainement des postes

de travail très spécialisés qui utilisent ce système d'exploitation là

depuis... de longue date. Donc, ils ont à faire la planification.

La question à savoir

combien ça coûtera, je n'ai pas la réponse, mais chaque ministère et organisme

public doit le planifier et le prévoir dans ses planifications annuelle et

triennale.

M. Arseneau :

Mais est-ce que vous, comme

ministère de la Cybersécurité et du Numérique, demandez à savoir si on a

effectivement une planification et combien ça va coûter pour chacun des

ministères?

Mme Martel

(Mylène) : Effectivement, oui.

M. Arseneau :

Est-ce que c'est quelque chose, une information que vous pourriez déposer à

la commission?

Mme Martel

(Mylène) : Bien, c'est une information qui est... en fait, qui n'est

pas colligée dans un seul document. Ça va

être difficile pour nous de vous rassembler toute l'information. Donc, c'est

vraiment un travail manuel assez substantiel, oui, c'est ça.

Le Président (M.

Simard) : Il vous reste 50 secondes.

M. Arseneau :

Ah! j'avais calculé que c'était terminé. Bien, merci. Alors, ça me permet

quand même de dire que cette obligation-là, en quelque sorte, elle échoit à

chacun des ministères et organismes. Vous les informez de la situation, mais vous n'avez pas actuellement le

portrait de la situation, à savoir si cette somme-là... Moi, je calculais que,

s'il y avait la moitié des postes, ça pouvait coûter entre 5 et

10 millions de dollars, si on n'était pas en mesure de remplacer le

système rapidement.

Mme Martel (Mylène) : Bien, en fait, oui, comme

je l'expliquais tout à l'heure, chaque ministère et organisme public doit en

faire l'évaluation à travers leurs coûts, annuellement, et leurs capacités

également. Donc, effectivement, c'est

un... et donc, en fonction de la disponibilité des ressources pour le faire, il

planifie les activités pour l'année en cours.

Le Président (M.

Simard) : Très bien. Merci.

M. Arseneau :

Merci beaucoup.

Président (M. Simard) : Je

cède à nouveau la parole à la députée de Mont-Royal—Outremont, qui dispose d'environ 20 minutes.

Mme Setlakwe :

Merci. Donc, on parlait de Santé

Québec, et, quand on s'est laissé, à la fin du bloc précédent, vous

disiez que vous ne saviez pas si la problématique au niveau des coûts, là, ce

n'était pas... Vous avez dit, vous ne savez pas si c'est une problématique avec

le logiciel comme tel ou l'entente avec le fournisseur. C'est quelque chose

pour lequel vous êtes en analyse et, au besoin, vous allez utiliser votre

pouvoir d'audit. C'est bien ça?

Bélanger : Oui, c'est ça, mais j'ai quand même aussi une réponse

à une question que vous aviez, au niveau du contrat avec Microsoft,

270 millions de Santé Québec, c'est un contrat au niveau de la

bureautique.

Mme Setlakwe : C'est beaucoup

d'argent.

M. Bélanger : Effectivement, mais

c'est de la bureautique, c'est ça.

Mme Setlakwe : Et comment, vous...

M. Bélanger : C'est sur trois ans,

Mme Setlakwe : C'est sur trois ans.

Ce qu'il faut se demander c'est : Est-ce que c'est via... C'est quand même

beaucoup de deniers publics, c'est des contrats très lucratifs qui sont

octroyés à Microsoft. Est-ce que c'est un élément

sur lequel vous allez vous pencher, étant donné la situation politique

actuelle, étant donné le Patriot

Cloud Act, etc.?

M. Bélanger : C'est 400 000

licences, et puis votre question est très pertinente. Actuellement, je vous

dirais qu'organismes et ministères signent des contrats de leur côté au niveau

de licences. Il y a peut-être un potentiel, au niveau de réduction de coûts, en

termes d'une entente globale pour ce qui est des licences d'utilisation de

certains... de certaines solutions, entre autres bureautiques, effectivement.

Mme Setlakwe : Est-ce qu'il faut...

Est-ce qu'on peut dire que, pour l'octroi de ces contrats-là, ça ne se fait pas

par appel d'offres, c'est de gré à gré?

M. Bélanger : C'est via le courtier,

le courtier...

Mme Setlakwe : C'est via le

courtier?

M. Bélanger : Oui. Donc, ce n'est

pas en gré à gré, là. Il y a un processus qui passe par le courtier.

Mme Setlakwe : Non, mais parce que

Microsoft fait

partie des entreprises qui sont préautorisées.

Bélanger : Tout à fait. Ils ont une place d'affaires

au Québec. Donc, c'est... ils suivent les règles au niveau de la LCOP.

Mme Setlakwe : O.K. Merci. Revenons

à la... Merci pour ces précisions. Revenons à la question sur le Dossier santé numérique, qui est vraiment très

important pour les Québécois. On souhaite tous que les renseignements de santé circulent de façon fluide, soient

conservés de façon sécuritaire, mais évidemment, ce qu'on veut avant tout,

c'est que les professionnels de la

santé, nos médecins aient entre les mains... qu'ils aient accès rapidement à

tout notre dossier. C'est ça qui est

l'objectif, puis on comprend que ça prend plusieurs années à déployer ce

chantier-là. Il y a des projets pilotes

qui sont en cours. Là, on comprend qu'il y a eu des difficultés au niveau des

appels d'offres, des appels de soumissions, ce qui explique des délais.

Là, on est rendu à 2026.

Pour

l'instant, il n'y a pas de problématique avec le logiciel, mais c'est... selon

ce que Mme Biron disait, la P.D.G. de Santé Québec, c'est plutôt tout ce que ça

prend autour, les tablettes, les appareils connectés, la formation du personnel.

Ce sont des choses dont on a besoin pour

être capables de livrer nos projets. Est-ce à dire que ce type de dépenses,

donc, connexes, qui ne sont pas liées

strictement au logiciel ou au fournisseur, ne sont jamais prises en compte dans

la budgétisation d'un projet de cette importance?

M. Bélanger : Je ne dirais pas

qu'elles ne sont jamais prises en compte, mais on a tendance à sous-estimer les coûts de gestion de changement. Et je vous

dirais aussi que... Je voudrais m'assurer que, lorsqu'on a des... Chaque organisme, ministère ont souvent dans leur mission,

dans leur engagement, de transformer leurs pratiques de façon numérique. Et

moi, ce que je veux m'assurer, c'est qu'il y ait des bénéfices, qu'on ne fasse

pas uniquement que de transformer des façons de faire qui sont non adéquates.

Donc, on veut transformer de façon à devenir plus efficace et, au niveau de l'estimation des coûts, bien, s'assurer

que, lorsque cette transformation-là va être en application ou va être en exécution ou lorsqu'on va tourner la clé à

«on», que tout va bien se passer, qu'on... parce que ça peut représenter

des coûts énormes, justement, au niveau de la réalisation.

Setlakwe : Donc, il n'est pas exclu qu'il y ait d'autres

projets en cours, d'autres chantiers dont les besoins périphériques à

l'implantation ne sont pas pris en compte.

M. Bélanger : Tous les projets qui

sont en exécution, je les réévalue, tous les projets qui vont... avant d'arriver à l'exécution ou à l'approbation. Pour

le moment, on arrive avec une situation où il y a des projets qui sont déjà en

exécution. Il y a des dossiers d'affaires qui ont été acceptés. Il y a des

dossiers d'affaires qui sont... Donc, il y a une

certaine transition. Il y a des projets qui sont en cours, mais, pour les

projets à venir, on désire utiliser des meilleures pratiques pour

s'assurer, justement, qu'il n'y ait plus de dépassements de coûts et que l'échéancier

soit respecté. Si on a

mal évalué le projet, on va dépasser l'échéancier puis on va dépasser le

budget, c'est certain. Et c'est souvent une des particularités qu'il y a

au niveau des projets informatiques, parce que ça prend une certaine expertise,

justement, de bien définir quelle est

l'architecture. Ça prend une expertise au niveau de l'analyse des besoins et de

définir quels sont les coûts de transformation par la suite.

Mme Setlakwe : Oui, parce qu'il n'y

a rien de pire, surtout dans le domaine de la santé, puis ça a été vécu avec le SIL, là, qui concerne les laboratoires,

puis ça va être le cas aussi avec le DSN. C'est bien beau de mettre... déployer

un nouveau logiciel, une nouvelle

plateforme, mais il faut que les professionnels de la santé et tout le

personnel puissent naviguer autour de ça de façon efficace.

Bélanger : ...là, c'est Santé Québec qui en a... qui l'a pris

en charge. On va travailler en collaboration avec Santé Québec pour

s'assurer que les projets se déroulent de façon efficace.

Mme Setlakwe : Justement, vous avez

parlé d'établissement des besoins, à quel point c'est important quand on

démarre un tel chantier. Dans un

article du 8 avril dernier, un

article de

Nicolas Lachance, on apprenait qu'une entreprise,

Accenture, avait d'abord conseillé le gouvernement sur l'établissement de ses

besoins et, par la suite, a raflé un

contrat de 40 millions, en lien avec le DSN, pour des services

professionnels d'accompagnement pour l'implantation. Il est mentionné

que ce possible conflit d'intérêts, à l'image de SAAQclic, crée un malaise dans

le réseau de la santé.

Est-ce que...

Comment vous répondez à ces préoccupations et quelles mesures sont mises en

place pour éviter de tels conflits d'intérêts à l'avenir?

M. Bélanger : J'aimerais ça que vous

répétiez votre question parce que j'avais un échange. Je ne veux pas spéculer,

là, de la question puis répondre incorrectement.

Mme Setlakwe : Vous avez sûrement

suivi ça, là, Accenture, une entreprise qui...

M. Bélanger : O.K. Je n'avais pas

compris, Accenture...

Mme Setlakwe : Accenture, oui...

M. Bélanger : O.K., je connais bien

Accenture.

Mme Setlakwe : ...Accenture, qui est

impliquée au niveau de l'établissement des besoins, directement ou une filiale,

peu importe, mais... et qui, par la suite, est impliquée dans l'accompagnement

pour l'implantation. Ça fait couler de

l'encre. Il a été dit... Il a été mentionné que ça pouvait créer un possible

conflit d'intérêts à l'image de SAAQclic, et ça crée un malaise, un

certain malaise au niveau... dans le réseau de la santé. Comment vous répondez

à ces préoccupations?

M. Bélanger : Bien, il y a une apparence.

Je vous dirais, j'ai travaillé avec ces firmes-là, j'ai travaillé pour Andersen

Consulting, qui est devenue Accenture. Donc, je connais quand même très bien

les pratiques, que ce soit au niveau d'ERP, au niveau des solutions. Je vous

dirais qu'on regarde une solution qui est plus souveraine, qui est plus locale pour être capable de travailler avec

des solutions qui pourraient être peut-être plus élaborées ici, au Québec,

au lieu d'être à risque avec des entreprises américaines. Je ne dis pas qu'on...

Je ne dis pas que les entreprises américaines fournissent de mauvaises

solutions, mais, dans ce cas de... dans le cas de ce dossier-là en particulier,

Accenture n'a pas participé à l'appel

d'offres. Mais c'est... Je ne dis pas que c'est une tradition, mais d'être

capable de participer au diagnostic et à l'analyse et, par la suite, être

intégrateur d'une solution. C'est souvent des cas de situation de potentiel conflit d'intérêts, si on intègre une

solution en particulier, puis, comme consultant, on a participé à l'analyse

des besoins et on recommande la solution où on est l'intégrateur.

Mme Setlakwe : Là, justement, vous

mettez le doigt dessus, là, puis là on parle d'un chantier majeur, puis vous dites même que vous regardez pour des

solutions plus souveraines. Mais là, ici, on est lié pour ce qui est du DSN,

du Dossier santé numérique, un projet estimé à 1,5 milliard, sur une

quinzaine d'années, qui pourrait potentiellement, si vous l'approuvez, engendrer un dépassement de coûts. Et on a... Les

contrats ont été octroyés, donc, l'établissement des besoins, firme américaine; le déploiement de la plateforme, du

logiciel Epic, société américaine; l'accompagnement pour l'implantation,

société américaine. On vient de vous entendre, dans la dernière minute,

dire : Ah! il faudrait travailler sur des solutions plus souveraines. Là,

comment vous rassurez la population qu'on a les bons joueurs sur ce dossier-là?

M. Bélanger : Bien, il y a

des dossiers qui sont en cours, des dossiers qui sont en cours, que j'évalue.

Dans le cas d'Epic en particulier, ma préoccupation est au niveau des données,

où les données vont être hébergées. Donc, je

veux m'assurer que les données, au niveau de la santé, sont protégées, mais ça

va au niveau du projet en général. Il y a quand même un millier de

projets. Il y en a 200 quelques qui sont en exécution. Est-ce qu'il y a des

projets qui requièrent une analyse plus

précise et des correctifs? La réponse, c'est oui. Il y en a combien? Je ne peux

pas vous dire aujourd'hui, mais il y en a plus qu'un.

Setlakwe : Pour celui-ci, la perception de manque

d'indépendance, quel est votre niveau d'inquiétude par rapport à ce

potentiel manque d'indépendance?

M. Bélanger : Je peux... Je ne peux

pas nécessairement commenter au niveau du manque d'indépendance. J'ai

travaillé, pendant des années, à implanter des... que ce soient des solutions

ERP ou des solutions au niveau de la chaîne... des chaînes d'approvisionnement,

des différents logiciels. On était l'intégrateur et on en faisait l'analyse. Puis il y avait des succès, les projets se

passaient très bien. Mais il y a des cas d'horreur où il y a eu des... certains

dépassements de coûts, mais je ne suis pas en mesure aujourd'hui de juger

s'il y a conflit d'intérêts. Il y a peut-être apparence, mais quels sont les

risques, je n'ai pas assez d'information pour le moment, et ma préoccupation

est que les projets soient réalisés dans le

budget et qu'on ne transforme pas des pratiques numériquement... des mauvaises

pratiques. Donc, on s'assure que les

pratiques et que les façons de faire soient transformées aussi, pas uniquement

transformer des pratiques inefficaces.

Setlakwe : C'est ça, O.K., au niveau de l'indépendance, on

vous a bien entendu. Au niveau de protection des données, dépendance, encore

une fois, des entreprises américaines, dans le contexte politique actuel, si

c'était vous qui étiez... qui avait été ministre de la Cybersécurité et

du Numérique à l'époque du... Non, c'est-à-dire que, si, aujourd'hui, on

recommençait à zéro, page blanche, est-ce que vous auriez fait les choses...

tenté de faire les choses différemment pour que les contrats soient octroyés à

des firmes locales?

M. Bélanger : Vous savez, la situation

géopolitique a évolué très rapidement. Bon, je suis en poste depuis

65 jours. Il y en a un autre qui est en poste depuis 100 quelques jours et

il y a eu des... une situation qui fait qu'à peu près tous les États et les

pays à travers le monde sont après réévaluer ou mettre en place une stratégie

numérique plus souveraine. Le contrat a été signé avant que le président des

États-Unis ait été en place. Donc, il y a un processus, il y a une course, mais on va faire les choses dans

les règles de l'art, puis, s'il y a des projets qui doivent être modifiés pour s'assurer

qu'en particulier les données sont sécurisées, bien, on va le faire.

Setlakwe : Donc, on a Accenture, on a Epic. Accenture détient

une firme spécialisée dans la mise en oeuvre et l'intégration de systèmes, les

mises à jour, l'optimisation des solutions d'Epic. Ça, vous le savez qu'ils

sont...

M. Bélanger : ...je connais très

bien Accenture. Vous avez CGI, au Québec, qui est une des plus grosses boîtes

aussi au monde. Vous avez l'entreprise Tata qui est aussi une des grosses

boîtes. Donc, Accenture, j'ai travaillé avec

eux. J'ai travaillé pour eux dans les années... avec Andersen, dans les

années 90. C'était une petite entreprise. Aujourd'hui, je ne sais

pas, il y a combien de milliers ou combien de milliards de chiffres

d'affaires... mais qu'il y a une très bonne

croissance à cause, entre autres, de la solution SAP, et SAP est aussi une

entreprise qui fournit, justement, la

solution ERP, qui a eu une croissance phénoménale. Donc, ce n'est pas toujours

des échecs. Il y a eu certains succès, mais il y a eu certains

dépassements de coûts significatifs dans plusieurs situations.

Mme Setlakwe : La plateforme Votre

Santé, qui est une des principales composantes du DSN, la réalisation de cette

plateforme-là a été confiée à Accenture, c'est bien ça, alors que la...

Setlakwe : Comment ça fonctionne? Qui s'occupe de ça par

rapport à Epic? Est-ce que ce n'est pas une portion qui devait être

assumée par Epic?

M. Bélanger : Je vais laisser ma

collègue répondre.

Mme Martel (Mylène) : Alors, oui,

bien, en fait, ce projet-là, qui est Votre Santé, est réalisé à même les grands projets du DSN, hein? Le DSN, c'est un

ensemble de trois projets. Il y a la vitrine qu'on parle... ce pour quoi on

parle depuis quelques minutes, vitrine qui est pour deux CIUSSS. Il y a Votre

Santé, qui est aussi un autre projet, et il y a le visualisateur qui est un

autre projet qu'on parle un petit peu moins.

Donc, Votre

Santé, comme c'est un progiciel Epic. Il y a plusieurs fonctionnalités qui sont

prévues dans la solution, qui

permettront de répondre en grande

partie aux besoins et aux fonctionnalités qui

seront requises dans le cadre de Votre Santé. Donc, c'est avec le

progiciel Epic, et il y a probablement un assemblage de logiciels, également,

qui pourront bonifier, je dirais, la

solution comme telle. Là, les autres logiciels comme tels, qui peuvent être

combinés à Epic, il faudra poser la question à Santé Québec. Je ne

pourrais vous dire précisément.

Mme Setlakwe : O.K. Donc, c'est un

progiciel Epic, et est-ce qu'Accenture joue un rôle à ce niveau-là?

Mme Martel

(Mylène) : Accenture joue un rôle, à ma connaissance, puis il

faudra vérifier avec Santé Québec... mais joue un rôle de conseil auprès

des autorités de Santé Québec dans le cadre du projet du DSN.

Setlakwe : Bien, c'est parce que ça va être important de

démêler tout ça, parce qu'encore une fois, en ayant à l'esprit les

préoccupations de la Vérificatrice générale, justement, il y avait des firmes

externes, des progiciels, plus d'une firme, et on a abouti à un projet qui a eu des dépassements de

coûts de centaines de millions. On ne veut pas que ça se reproduise à nouveau. Est-ce que c'est

encore un exemple de fractionnement de projets en plus petits lots de contrats?

Mme Martel

(Mylène) : Bien, en fait, tout à l'heure, ça a été mentionné qu'en

apparence... certains ont mentionné qu'il y avait des projets qui étaient

fractionnés. Je tiens à apporter certaines précisions au regard de cette affirmation-là, en fait, parce que, quand un

projet est approuvé par les autorités compétentes, parfois c'est le président

d'organisme, selon les seuils, parfois c'est le Conseil du trésor ou parfois

c'est le Conseil des ministres, dépendamment des seuils des différents

projets, c'est en vertu d'une portée qui est approuvée dans son dossier

d'affaires. Donc, il ne peut pas y avoir de fractionnement de projet suivant

l'approbation d'un dossier d'affaires. Donc, ce qui est inscrit actuellement au SIGRI et ce qui est inscrit au

tableau de bord, c'est en vertu des dossiers d'affaires qui sont approuvés.

Setlakwe : Donc, pour le DSN et ses différents volets, les trois dont

on a mentionné, il ne peut pas être fractionné?

Mme Martel

(Mylène) : C'est-à-dire que les projets qui sont approuvés dans le

cadre du DSN actuellement, puis celui qui

est au tableau de bord, à 268 millions, avec un 42 millions qui s'est

ajouté, celui-là, c'est un projet en soi, avec sa portée, qui est de déployer le DSN dans deux CIUSSS. Il y aura

un autre projet, un autre dossier d'affaires qui fera l'objet d'une approbation pour le déploiement du DSN à l'intérieur

des autres CIUSSS, pour le déploiement provincial.

Setlakwe : Merci. Le DSN va contenir, évidemment, des informations

sensibles sur la santé des citoyens. Quelles garanties est-ce que vous pouvez

offrir, M. le ministre, à la population par rapport à la protection, justement,

de ces données sensibles?

M. Bélanger :

C'est un dossier qui est prioritaire, pour moi, que les données qui sont

prévues d'être sous le contrôle d'Epic soient justement entreposées de façon

sécuritaire ici et non ailleurs. Donc, c'est un élément qui me préoccupe à l'heure actuelle, mais peut-être qu'il

était moins préoccupant, il y a de ça six mois. Il y a six mois, on ne se

poserait pas les mêmes questions. On ne se poserait pas les mêmes questions au

niveau de la bureautique avec Microsoft.

Mme Setlakwe :

Bien, oui, ça, là-dessus, on en a

parlé ensemble déjà dans une autre commission. La situation a changé,

elle a évolué rapidement, mais oui, il y a six mois, c'était quand même

pertinent de se poser la question sur l'hébergement

des données. Ces lois à portée extraterritoriale étaient en place quand même,

mais je comprends que vous êtes en réflexion.

J'aurais une dernière

question. Est-ce que... à la lumière des défis qui ont été rencontrés dans le

projet SAAQclic, quelles leçons avez-vous

tirées pour éviter qu'il y ait des erreurs similaires dans le cadre du DSN,

notamment en ce qui concerne la

planification, la gestion des risques et la communication avec le public?

Quelles leçons avez-vous tirées sur ces éléments-là?

M. Bélanger :

Les leçons qu'on a tirées, c'est

que le MCN n'a pas les outils de gouvernance et de gestion adéquats pour

s'assurer qu'il n'y ait pas d'autre SAAQclic. Donc, on va... on veut s'assurer

d'avoir ces outils-là en place et qu'il n'y ait pas de dérogation qui se fasse

au niveau...

Le Président (M. Simard) : Merci,

M. le ministre. Merci beaucoup. Je cède maintenant la parole au député de Maurice-Richard,

qui dispose de 16 min 37 s.

Bouazzi : Merci beaucoup, M.

le Président. On va continuer sur les questions d'infonuagique, M. le ministre.

D'abord, on va revenir un peu à la genèse,

et je comprends que les choses ont évolué. Donc, en 2019, votre prédécesseur ministre

du Numérique, Cybersécurité avait annoncé que, d'ici trois ans, il ferait des

économies de 100 millions annuelles en

remplacement des informations... en plaçant les informations des différents

ministères dans les différents nuages.

J'imagine, six ans plus tard, qu'on est tous d'accord pour... qu'il n'y a pas

eu ni 100 millions, ni 10 millions, ni même 1 $ de

revenus associés à ces stratégies.

M. Bélanger :

Je vais laisser Sylvain répondre... l'information.

M. Goulet

(Sylvain) :

Pour

qu'il y ait les économies, il faut que la consolidation soit terminée. Donc,

l'année dernière, on a publié la révision de

l'analyse financière avec le programme. On voyait qu'il y avait encore des

bénéfices. On a refait l'exercice dans les dernières semaines. Il y a une

baisse des bénéfices, mais il y a encore des bénéfices qui vont être présents au terme du programme. Il passe à

614 millions. C'est une baisse à 7,4 %, mais il va y avoir encore des bénéfices. On a tenu compte de

différents facteurs, dont l'augmentation des coûts en infonuagique, mais aussi l'augmentation

des coûts d'entretien des infrastructures sur site.

M. Bouazzi : Là,

je veux juste être sûr de comprendre. Donc, quand on promettait

100 millions annuels, je comprends

qu'on est très en retard parce qu'à l'époque le ministre avait dit dans trois

ans. On est six ans plus tard. Là, vos économies annuelles que vous

évaluez sont de combien?

M. Go