Skip to main content

Cybersécurité Petite Enfance

Cybersécurité Petite Enfance
Menu

Une double signature qui reposait sur un mot de passe partagé (jugement 2026 QCCS 3826)

Faille de sécurité Par Eric Rousseau · 5 octobre 2026 · Mis à jour le 2 novembre 2026 · 10 min de lecture
Mur de coffrets de sûreté numérotés en laiton, chacun muni de deux serrures
En bref

Dans un CPE de la Mauricie, la double signature exigée pour les virements ne tenait que si un mot de passe bancaire était partagé.

Le 16 septembre 2022, une administratrice du Centre de la petite enfance Six Saisons voit arriver dans son compte bancaire un virement de 500 $ provenant du CPE. Elle n’attend aucun argent. Elle prévient la présidente du conseil d’administration. Ce virement égaré, que l’adjointe administrative destinait en réalité à elle-même, lève le voile sur des transactions suspectes évaluées à plus de 148 000 $.

Quatre ans plus tard, le 28 septembre 2026, la Cour supérieure rend son jugement dans le litige qui a suivi (2026 QCCS 3826, district de Saint-Maurice). Une phrase devrait faire réfléchir chaque conseil d’administration. Selon le témoignage de la directrice générale adjointe arrivée en poste, la directrice générale ne savait pas se connecter à l’application de l’institution bancaire ; dans ces circonstances, écrit le tribunal, « la procédure exigeant deux signatures pour autoriser les transactions ne pouvait être suivie » à moins que la directrice n’ait communiqué son mot de passe. Autrement dit : sur papier, deux signatures ; dans les faits, une seule personne aux commandes.

Ce qui s’est passé

  • 2000 à 2009 : l’employée qui deviendra adjointe administrative est directrice générale du CPE. Elle forme ensuite celle qui lui succède en 2009 et reste responsable des finances et de la comptabilité, en qui la nouvelle directrice dit avoir une confiance totale (par. 24, 28 à 30).
  • 2 décembre 2021 : la directrice générale présente au CA une offre de services pour des travaux d’agrandissement, sans dire qu’elle a déjà signé le contrat et versé plusieurs dizaines de milliers de dollars à l’entrepreneur (par. 57.12).
  • Août 2022 : une comptable embauchée pour reprendre la tenue des livres constate un important retard et de nombreuses irrégularités, dont des factures sans lien avec les activités du CPE (par. 50).
  • 16 septembre 2022 : le virement de 500 $ arrive par erreur chez une administratrice (par. 10, 44 et 45).
  • 18 septembre 2022 : la directrice générale est informée que le CPE est victime de vol et de détournement de fonds ; elle porte plainte à la police le jour même (par. 11 et 12).
  • 6 octobre et 1er novembre 2022 : la directrice générale est relevée provisoirement de ses fonctions, puis congédiée par le CA (par. 14 et 15).
  • Procédures criminelles : l’adjointe administrative plaide coupable à des accusations de vol ; une ordonnance de dédommagement de 93 027,64 $ est rendue (par. 17 et note 2).
  • 20 au 22 janvier 2026 : procès civil ; l’ex-directrice conteste son congédiement, le CPE réclame les sommes perdues.
  • 28 septembre 2026 : jugement.

Le jugement décrit aussi d’autres signaux qui n’ont pas déclenché d’alarme. Lors d’un examen du compte bancaire montrant une diminution des avoirs de l’ordre de 200 000 $, la directrice avance une explication sans procéder à aucune vérification (par. 38). Des remboursements d’allocations de dépenses apparaissent en montants tous arrondis à la centaine (par. 43). La directrice justifie des achats discrétionnaires sur la carte de crédit du CPE par le fait que toute dépense de moins de 15 000 $ n’exige pas l’autorisation préalable du CA (par. 57.6).

Clé de sûreté argentée posée sur une souche d'arbre fendillée
Une seule clé pour deux serrures : c’est ce que devient la double signature quand un mot de passe bancaire se partage.

Encadré : à Gaspé, un accès aux virements et deux ans sans alerte

Un autre CPE québécois, le CPE le Voyage de mon Enfance, à Gaspé, poursuit son ancien directeur adjoint à l’administration pour 206 417,45 $. Ce qui suit provient du jugement interlocutoire 2026 QCCS 231 du 28 janvier 2026, qui porte sur une saisie avant jugement et résume les allégations du CPE ; le fond du litige n’est pas jugé. Selon ces allégations, l’employé, en poste depuis le 31 mars 2022, disposait des accès nécessaires pour effectuer des virements bancaires (par. 14) et se serait versé des avances de salaire du 31 octobre 2023 au 3 novembre 2025 (par. 13 et 19). C’est la firme comptable externe qui signale, le 26 novembre 2025, un déficit de plus de 233 000 $ pour 2024-2025 (par. 17). Le directeur général retire tous les accès comptables et bancaires le 29 novembre (par. 20). L’employé a remboursé 75 000 $ le 18 décembre 2025 (par. 29). Le 25 septembre 2026, Radio-Canada rapportait le dépôt d’accusations criminelles, dont celle d’utilisation non autorisée et frauduleuse d’un ordinateur. Ces accusations n’ont pas été prouvées et la personne visée est présumée innocente.

Les données touchées

Ici, ce sont des fonds publics et la confiance des familles qui sont en jeu, plus que des renseignements personnels. Les chiffres du jugement 2026 QCCS 3826 :

  • plus de 148 000 $ de transactions suspectes évaluées au moment du congédiement (par. 16) ;
  • 93 027,64 $ d’ordonnance de dédommagement dans le dossier criminel de l’adjointe (par. 17) ;
  • 54 564,59 $ d’achats personnels portés au compte du CPE, que le tribunal retient comme non remboursés (par. 72 à 75) ;
  • près de 150 000 $ de services non facturés aux parents au moment de l’enquête administrative, environ la moitié du budget selon le jugement (par. 57.14) ;
  • une assurance qui n’était plus payée, de sorte que le CPE n’était plus assuré (par. 57.15).

Le tribunal rejette la poursuite de l’ex-directrice. Il la condamne à payer au CPE 79 030,82 $ et 699,68 $, condamne l’adjointe à 2 365,37 $, et les deux, solidairement, à 30 000 $ pour troubles et inconvénients (par. 88 à 92).

Ce qu’en disent les parents, les experts et les autorités

Les réactions publiques sont minces. Nous n’avons trouvé aucune couverture médiatique du jugement du 28 septembre 2026 ; le seul texte disponible est le jugement lui-même. Son appréciation est sévère : selon le tribunal, l’ex-directrice a fait preuve de « négligence grave » dans la gestion des affaires du CPE, en se désintéressant du volet comptable et financier (par. 58), et ces manquements ont permis à l’adjointe d’orchestrer un vol dépassant les 95 000 $ (par. 59). Le tribunal note que les fonctions de directrice générale « exigeaient plus » (par. 61).

Dans l’affaire de Gaspé, le directeur général du CPE s’est limité à dire à CIMT-CHAU que ce manque à gagner entraînait des répercussions sur la mission du CPE (16 février 2026).

Ce que ça enseigne à un CPE québécois

Un CPE est un organisme sans but lucratif financé en bonne partie par des fonds publics. La Loi sur les services de garde éducatifs à l’enfance oblige tout titulaire de permis subventionné à transmettre au ministre un rapport financier pour chaque exercice, au plus tard six mois après la fin de celui-ci (art. 61). Elle permet au ministre de diminuer ou de suspendre la subvention d’un bénéficiaire qui pose un geste incompatible avec les règles de saine gestion applicables à un organisme subventionné (art. 97, par. 5°). Le contrôle financier n’est donc pas qu’une affaire interne.

Le volet numérique est central dans les deux affaires. Dans la première, la double signature reposait sur un accès bancaire en ligne qu’une signataire ne savait pas utiliser. Dans la seconde, selon les allégations, un seul employé avait accès au logiciel comptable et aux virements. Un mot de passe partagé ou un accès trop large annule les meilleures politiques écrites.

Le lien avec la Loi 25 est indirect, mais réel : l’article 10 de la Loi sur la protection des renseignements personnels dans le secteur privé exige des mesures de sécurité raisonnables. Le portail bancaire, la paie et la facturation des parents contiennent numéros de compte, salaires et adresses ; les accès nominatifs qui protègent votre argent protègent aussi ces renseignements.

Ce que ça change pour votre service de garde

  1. Un accès bancaire nominatif par signataire, avec double authentification. Chaque personne autorisée a son propre code dans le portail bancaire de l’entreprise et sait s’en servir. Aucun mot de passe partagé, même « pour dépanner ». Délai : 30 jours. Coût : généralement nul ; vérifiez les frais de votre institution.
  2. Configurez la double approbation dans le système, pas seulement dans la politique. La plupart des portails d’entreprise permettent d’exiger qu’un virement saisi par une personne soit approuvé par une autre. Celle qui prépare ne doit jamais être celle qui approuve. Faites-le valider par votre conseiller bancaire.
  3. Le relevé bancaire brut va directement au trésorier du CA. Chaque mois, sans passer par la direction ni par la comptabilité. Le trésorier coche les virements sortants, les remboursements de dépenses et les montants ronds. Trente minutes par mois.
  4. Activez les alertes bancaires sur tout virement sortant et tout ajout de bénéficiaire, envoyées à une deuxième personne. À Gaspé, selon les allégations, deux ans se sont écoulés avant que la firme comptable ne voie le déficit.
  5. Séparez les tâches, même dans une petite équipe. Paie, paiement des fournisseurs et conciliation bancaire ne doivent pas reposer sur la même personne. Si l’équipe est trop petite, compensez par une revue mensuelle documentée par un membre du CA.
  6. Encadrez la carte de crédit et les dépenses de la direction. Pièce justificative obligatoire, conciliation mensuelle signée par une autre personne, approbation des dépenses de la direction générale par la présidence ou la trésorerie du CA. Un seuil d’autorisation du CA trop élevé ne doit pas devenir un chèque en blanc.
  7. Retirez les accès le jour même d’un départ, d’une suspension ou d’un congé prolongé, et faites l’inventaire des accès deux fois par année. Notre article sur le compte d’un employé en congé depuis 11 mois montre pourquoi, et celui sur la double authentification explique comment la mettre en place. Pour les fraudes venues de l’extérieur, lisez aussi le traiteur qui change de compte bancaire.

Foire aux questions

Que dit exactement le jugement sur la double signature ?

Au paragraphe 42 de 2026 QCCS 3826, le tribunal rapporte le témoignage de la directrice générale adjointe : la directrice générale ne savait pas se connecter à l’application bancaire, si bien que la procédure exigeant deux signatures pour autoriser les transactions ne pouvait être suivie à moins qu’elle n’ait communiqué son mot de passe.

Combien le CPE a-t-il perdu ?

Le jugement évalue les transactions suspectes à plus de 148 000 $ au moment du congédiement. L’adjointe a fait l’objet d’une ordonnance de dédommagement de 93 027,64 $, et le tribunal condamne l’ex-directrice à rembourser 79 030,82 $ et 699,68 $, plus 30 000 $ solidairement avec l’adjointe.

L’affaire de Gaspé est-elle jugée ?

Non. Le jugement 2026 QCCS 231 du 28 janvier 2026 porte sur une saisie avant jugement et résume les allégations du CPE. Des accusations criminelles ont été rapportées par Radio-Canada le 25 septembre 2026 ; la personne visée est présumée innocente.

Un petit CPE peut-il vraiment séparer les tâches ?

Oui, en partie. L’essentiel est que la personne qui prépare un paiement ne soit pas celle qui l’approuve, et que le relevé bancaire brut soit revu chaque mois par un membre du CA. La double approbation dans le portail bancaire et les alertes de virement coûtent peu ou rien.

Transparence

Ce blogue est publié par Amisgest Technologie inc., éditeur de logiciels pour les services de garde éducatifs. Les faits rapportés ici proviennent de sources publiques citées en fin d’article. Une erreur à signaler ? Écrivez à [email protected].

Sources

À lire aussi

Étiqueté , , , ,

Laisser un commentaire

Votre adresse courriel ne sera pas publiée. Les champs obligatoires sont indiqués avec *