PD - Système logiciel de planification des ressources de l’entreprise

Rectificatif No. 2:

En raison des heures d’ouverture durant la période des Fêtes, les fournisseurs sont informés que les questions concernant ce préavis d'approvisionnement ne seront pas adressées entre le 24 décembre 2024 et le 1 janvier 2025.

*************************************************************************************************************************************************************************************************************************************
Rectificatif No. 1:

Le moment ou l’exigence de sécurité anticipée suivante sera requise a été rapporter après l’attribution du contrat.

L'autorité en matière de sécurité des TI du CDC doit effectuer une autorisation et évaluation de la sécurité (A&ES) du système visé par le contrat, conformément à l’annexe B : Procédures obligatoires relatives aux mesures de sécurité de la technologie de l’information de la Directive sur la gestion de la sécurité, ou d'une autre évaluation, telle que déterminée par le/la DPS ou le/la DPI du CDC. Les fournisseurs doivent fournir les informations requises à l'autorité de TI sur demande.

L’exigence de sécurité anticipée suivante a été ajoutée :

Avant l’attribution du contrat, CDC effectuera une évaluation de la sécurité du fournisseur et de son système logiciel de planification des ressources de l’entreprise proposé.  Au minimum, l’évaluation comprendra une évaluation des éléments suivants:

Certification ISO/IEC 27001:2022 (ou version subséquente)
Certification ISO/IEC 27017:2015 (ou version subséquente)
Certification ISO/IEC 27018:2014 (ou version subséquente)
Rapport de vérification de l’AICPA (Service Organization Control [SOC]) 2 Type II

Pour plus de clarité, les services d’un intégrateur de systèmes pour mettre en œuvre le nouveau système logiciel de planification des ressources de l’entreprise sont hors de portée de cet approvisionnement prévu. CDC prévoit de se procurer les services d’un intégrateur de systèmes dans le cadre d’un approvisionnement séparé.

*************************************************************************************************************************************************************************************************************************************
Préavis d’approvisionnement

SYSTÈME LOGICIEL DE PLANIFICATION DES RESSOURCES DE L’ENTREPRISE
OTTAWA, ONTARIO

(comprend des exigences en matière de sécurité)

Objectif du présent préavis d’approvisionnement
Il ne s’agit pas d’une demande de soumissions ni d’une demande de propositions.
La présente est un préavis d’approvisionnement (PA) pour un contrat potentiel comportant des exigences de sécurité anticipées afin de fournir aux fournisseurs intéressés, l’occasion d’entamer le processus de parrainage en vue d’obtenir l’attestation de sécurité prévue. Veuillez noter qu’il n’y a aucune garantie que cette sollicitation aura lieu ou que des attestations de sécurité seront accordées dans le cadre du processus de parrainage en temps opportun.

Description du projet et des services
Le but de ce projet est d’acquérir un système logiciel de planification des ressources d’entreprise (ERP) moderne qui remplacera l’ancien système ERP de CDC. Le système ERP actuel de CDC est utilisé par environ 1,300 utilisateurs à travers le Canada. À la date de publication du présent préavis d’approvisionnement, CDC estime que les modules suivants seront nécessaires afin de rencontrer ses besoins pour le système ERP:

Finance
Ressources Humaines
Approvisionnement
Gestion de Projet

La demande de soumissions devrait être lancé à l’hiver 2025.  Ceci est conditionnel à l’approbation du contrat.

Exigences éventuelles en matière de sécurité et d’attribution du contrat
Pour être admissible à l’attribution d’un contrat, un proposant ou un soumissionnaire devra, entre autres, détenir toute cote de sécurité requise avant la date de l’octroi du contrat, comme il sera indiqué en détail dans les documents de la sollicitation.
À la date de publication du présent préavis d’approvisionnement, il est prévu que la cote de sécurité requise soit la suivante:

pour les fournisseurs : une attestation de vérification d’organisation désignée (VOD) en vigueur, et obtenir une cote de protection des documents approuvée au niveau PROTÉGÉ B, délivrées par le Programme de sécurité des contrats (PSC), Travaux publics et Services gouvernementaux Canada (TPSGC).
Avant l'attribution du contrat, le fournisseur doit fournir la preuve et la confirmation au Canada d'une évaluation complète de la sécurité des technologies de l'information s'appliquant aux fournisseurs de services infonuagiques (ITSM.50.100) pour son système en nuage, ou d'une autre évaluation, telle que déterminée par le/la Dirigeant(e) principal(e) de la sécurité (DPS) ou le/la Dirigeant(e) principal(e) de l'information (DPI) du CDC, effectué par CDC ou le Centre canadien de cybersécurité (CCCS).
Avant l’attribution du contrat, CDC effectuera une évaluation de la sécurité du fournisseur et de son système logiciel de planification des ressources de l’entreprise proposé.  Au minimum, l’évaluation comprendra une évaluation des éléments suivants:

Certification ISO/IEC 27001:2022 (ou version subséquente)
Certification ISO/IEC 27017:2015 (ou version subséquente)
Certification ISO/IEC 27018:2014 (ou version subséquente)
Rapport de vérification de l’AICPA (Service Organization Control [SOC]) 2 Type II

Pour la sensibilisation, les éléments suivants seront exigés après l’attribution du contrat:

La résidence des données pour les données électroniques au repos au niveau PROTÉGÉ B ou supérieur doit être au Canada.
Le fournisseur NE DOIT PAS utiliser ses propres systèmes informatiques pour traiter, produire ou entreposer électroniquement des renseignements ou des données au niveau PROTÉGÉS tant que le PSC, TPSGC ne lui en aura pas donné l’autorisation par écrit.  Lorsque cette autorisation aura été délivrée, ces tâches pourront être exécutées au niveau PROTÉGÉ B, compris un lien électronique au niveau PROTÉGÉ B.
L'autorité en matière de sécurité des TI du CDC doit effectuer une autorisation et évaluation de la sécurité (A&ES) du système visé par le contrat, conformément à l’annexe B : Procédures obligatoires relatives aux mesures de sécurité de la technologie de l’information de la Directive sur la gestion de la sécurité, ou d'une autre évaluation, telle que déterminée par le/la DPS ou le/la DPI du CDC. Les fournisseurs doivent fournir les informations requises à l'autorité de TI sur demande.

Le programme de parrainage de sécurité industrielle (PSI)
Construction de Défense Canada (CDC) offre aux fournisseurs l’opportunité de se faire parrainer en vue d’obtenir une attestation de sécurité par l’entremise du Programme de sécurité industrielle (PSI). Par conséquent, les fournisseurs qui prévoient présenter une proposition ou une soumission pour un ou plusieurs de ces projets et qui ne détiennent pas activement les attestations de sécurité identifiée ci-dessus doivent commencer immédiatement le processus de demande d’attestation de sécurité en faisant la demande par l’intermédiaire du PSI de CDC.
Dans le cadre de ce programme, CDC peut, à son entière discrétion, fournir une aide préliminaire pour le processus de parrainage visant l’obtention d’une attestation de sécurité.
Pour commencer ce processus, veuillez présenter une demande de parrainage à CDC en suivant les étapes suivantes qui se trouvent sur son site Web à : https://www.cdc-dcc.gc.ca/industrie/exigences-de-sécu…
Dans la demande de parrainage qu’ils présentent à CDC, les fournisseurs sont priés de notamment indiquer les renseignements suivants :

Le numéro du contrat DCC-IT-020-03; et,
Le niveau de cote de sécurité demandé dans le cadre du parrainage.

Processus de parrainage
À la réception d’une demande de parrainage, CDC l’examine et communique directement avec le fournisseur pour compléter le dossier.
Une fois que CDC a déterminé, à son entière discrétion, qu’un fournisseur:

a débuté le processus de parrainage avant que la ou les sollicitations (numéro(s) de contrat indiqué sur leur demande de parrainage) ne soient annoncées sur MERX,
a satisfait à toutes les exigences matérielles de la trousse de demande de parrainage, et
a déposé une proposition ou une soumission

CDC enverra la trousse de demande de parrainage au Programme de sécurité des contrats (PSC) de Services publics et Approvisionnement Canada (SPAC).
Après la réception du dossier de demande de parrainage, le PSC communique directement avec le proposant ou le soumissionnaire pour lui indiquer les prochaines étapes, les mesures à prendre ou l’état du traitement du dossier. Le proposant ou le soumissionnaire devra alors coopérer avec le PSC en temps opportun pour faire avancer le processus.

Des questions?
Vous pouvez transmette toute question concernant le processus de parrainage par l’intermédiaire du PSI à :
Numéro de téléphone : (613) 998-8974
Courriel : I••••••••@•••••••.••.ca

Vous pouvez transmettre vos questions relatives au présent préavis d’approvisionnement à :
Paul Chouinard
Spécialiste de l’approvisionnement
Construction de Défense Canada
343-549-1737
p••••••••@•••••••.••.ca

Avis de non-responsabilité
CDC ne fournit qu’une aide, à son entière discrétion, pour le processus de parrainage susmentionné et ne fournit aucune déclaration ni ne garantit qu’un dossier de demande de parrainage ou une demande d’attestation de sécurité transmise par CDC au PSC sera retenu ou entraînera l’octroi de l’attestation de sécurité demandée par le PSC. En tout temps, le traitement d’une demande de parrainage ou d’une demande d’attestation de sécurité est assujetti aux modalités et aux délais respectifs du processus de parrainage du PSI de CDC et du processus d’octroi de l’attestation de sécurité du PSC. En postulant à l’un ou l’autre des processus susmentionnés, le proposant ou le soumissionnaire accepte d’assumer les frais et les risques associés à : (i) l’exhaustivité ou l’exactitude, ou l’absence d’exactitude, de sa demande ou des documents connexes soumis dans le cadre de l’un ou l’autre de ces processus ou en relation avec ceux-ci, et (ii) le respect ou l’absence de opportunité, de tout traitement ou octroi d’une ou de plusieurs attestations de sécurité dans le cadre de l’un ou l’autre de ces processus ou en relation avec ceux-ci. Nonobstant toute autre disposition ci-dessus, CDC ne sera en aucun cas responsable envers le proposant ou soumissionnaire de tout dommage direct ou indirect.
 Vous pouvez soumettre une offre et accéder aux documents sur http://www.merx.com. Des frais peuvent sappliquer; Voir https://www.merx.com/public/pricing pour plus dinformations.