4.1.2. Horizontální audit IT: audit řízení externě zajišťovaných služeb v oblasti IT a dohledu nad těmito službami (řízení smluv) – více GŘ (GŘ BUDG, GŘ DIGIT, GŘ HOME, OP, GŘ SANTE (dříve SANCO))

Auditované subjekty ve svých zprávách uvedly, že 78 % přijatých doporučení vydaných mezi lety 2010 a 2014 bylo provedeno do začátku roku 2015. Ze všech doporučení označených jako „velmi důležitá“ nebo „závažná“ a vydaných v období 2010–2014 došlo k prodlení v provádění delšímu než šest měsíců u 17 velmi důležitých doporučení (2%). Všechna závažná doporučení byla provedena. Výbor pro pokrok v oblasti auditu byl pravidelně informován, pokud při provádění velmi důležitých doporučení došlo k prodlení delšímu než šest měsíců, a v případě potřeby útvarům jejich povinnost tato doporučení provést připomínal. Celkový počet přijatých doporučení vydaných v průběhu let 2010–2014, u nichž útvar IAS do konce roku 2014 provedl následný audit, dosahuje 640. Navazující činnost útvaru IAS potvrdila, že doporučení jsou prováděna uspokojivým způsobem, což přispívá ke zdokonalování kontrolních systémů v auditovaných útvarech. Útvar IAS uzavřel 95 % doporučení sledovaných během tohoto období.

Co se týče výběru typu externího zajišťování služeb, GŘ DIGIT by mělo vydat pokyny, které by provozním GŘ/útvarům pomohly zvolit nejvhodnější způsob práce. Na provozní úrovni by tato volba měla vycházet z analýzy nákladů a přínosů při zohlednění konkrétních podmínek a omezení externě zajišťovaných služeb.

Co se týče řízení individuálních smluv na základě času a prostředků, GŘ DIGIT by mělo zajistit konzistentnost mezi rámcovými smlouvami z hlediska úrovně kontrol předpokládaných při výběru interních konzultantů, definice klíčových ukazatelů výkonnosti, předávání informací o výkonnosti dodavatelů konečným uživatelům v GŘ/útvarech a sladění doložek o smluvní náhradě škody na základě globálního ukazatele služeb. Na provozní úrovni by GŘ/útvary měly zlepšit výkonnost systému měření výkonnosti pro své vlastní rámcové smlouvy.

Postup odhadování potřeb před uzavřením rámcové smlouvy by měl být na ústřední i provozní úrovni standardizován, měly by být poskytnuty instrukce k tomu, jak potřeby definovat (s cílem zajistit soulad mezi nabídkovými řízeními), a měl by být zaveden strukturovaný a vysledovatelný postup na úrovni GŘ. Dále by měly být více konsolidovány potřeby na úrovni Komise, aby přesněji odrážely skutečné potřeby jednotlivých GŘ/útvarů.

Podstatná část výdajů Komise na IT je určena na externí zajišťování služeb v oblasti IT interními či externími poskytovateli. V Komisi jsou povinnosti stanoveny na statutární a na místní úrovni. Na statutární úrovni GŘ DIGIT a GŘ BUDG poskytují pokyny, instrukce a šablony, vypracovávají školení a řídí rámcové smlouvy. Na místní (provozní) úrovni GŘ/útvary odpovídají za vymezení potřeb, plnění jednotlivých smluv a zajišťování toho, že jsou služby poskytovány. S ohledem na to bylo celkovým cílem auditu posoudit účinnost a účelnost zavedených postupů Komise při řízení smluv na externě zajišťované služby v oblasti IT a při vykonávání dohledu nad těmito službami, aby vynaložené prostředky přinášely odpovídající hodnotu.

4.1.2.Horizontální audit IT: audit řízení externě zajišťovaných služeb v oblasti IT a dohledu nad těmito službami (řízení smluv) – více GŘ (GŘ BUDG, GŘ DIGIT, GŘ HOME, OP, GŘ SANTE (dříve SANCO))

Za účelem řešení těchto problémů by měl úřad EPSO poskytnout orgánům EU pokyny a instrukce, aby se zvýšila soudržnost a srovnatelnost jejich požadavků na vybrané uchazeče, a vyžadovat dostatečné podrobnosti o používaných kritériích, které by mu umožnily správně stanovit prioritu požadavků a uspořádat výběrové řízení v souladu se skutečnými potřebami orgánu a jeho kapacitami v oblasti náboru. Lepší plánování by také mělo omezit prodlení. Na úrovni GŘ by měly být důsledně používány nástroje pro řízení lidských zdrojů a jejich výstupy by měly sloužit k analýze budoucích potřeb v oblasti náboru.

S ohledem na povahu tohoto auditu vydal útvar IAS pouze obecná doporučení, která by GŘ měla ve svých nadcházejících přípravách zohlednit, ale nevyžaduje se od nich vypracování akčních plánů. Konkrétnější doporučení byla vydána v souvislosti s druhou fází (viz oddíl 4.3.2).

Při srovnání s původními návrhy Komise však konečné znění přijatých právních předpisů přineslo dodatečná rizika, která budou GŘ muset v rámci příprav na navrhování a provádění kontrol v novém programovém období řešit. Přestože nyní existuje jeden zastřešující soubor pravidel, legislativní balíček jako celek je velmi složitý. Není vždy snadno srozumitelný, což může následně vést k problémům při výkladu ze strany členských států a jak pro Komisi, tak pro členské státy to může představovat problém, pokud jde o ověřování a kontroly, takže v konečném důsledku může být riziko chyb vyšší. Konečné nařízení o společných ustanoveních je méně přísné, pokud jde o finanční opravy vedoucí ke ztrátě finančních prostředků pro členské státy („čisté finanční opravy“), čímž členským státům poskytuje menší motivaci zlepšovat kontroly první úrovně. Kromě toho nařízení o společných ustanoveních přináší s ohledem na pravidla pro uchovávání dokumentace určitá omezení z hlediska lhůt pro audity. Zavedení rámce pro výkonnost pak vedlo k dohodě o řadě výjimek a podmíněnosti pravidel, což by mohlo znamenat, že nevýkonnost by ve skutečnosti nemusela být výrazněji penalizována, a to by následně mohlo oslabit konečný dopad rámce.

V roce 2014 provedl útvar IAS dvoufázovou analýzu nedostatků nařízení o ESI fondech pro období 2014–2020. Fázi 1 představovala analýza přijatých právních předpisů na vysoké úrovni, která zahrnovala čtyři GŘ (GŘ AGRI, GŘ EMPL, GŘ MARE a GŘ REGIO) a pět ESI fondů. Analýza se zaměřila především na základní obsah přijatých právních předpisů a na to, v jakém rozsahu odráží původní návrhy a cíl Komise, jímž bylo dosáhnout patřičné rovnováhy mezi snižováním administrativní zátěže a současně zachováním úrovně kontroly nezbytné k výkonu povinností v oblasti dohledu při plnění rozpočtu v rámci sdíleného řízení. Zjištění týkající se konkrétně GŘ AGRI byla sdělena zvlášť – viz oddíl 4.2.1 této zprávy.

Generálním ředitelstvím bylo doporučeno, aby zajistila, že rizika související s problémy zjištěnými v právním rámci budou odpovídajícím způsobem zmírněna a náležitě zohledněna v pokynech pro zaměstnance GŘ REGIO/EMPL a členské státy a rovněž v auditních a kontrolních strategiích, uzpůsobených pro programové období 2014–2020. Konkrétně by měly být vypracovány pokyny týkající se způsobilosti pracovního kapitálu, přednostního zacházení se soukromými investory, používání zpráv o ex ante posouzení a podávání zpráv o pákovém účinku.

Úloha finančních nástrojů, jíž je napomáhat dosažení cílů v oblasti politiky soudržnosti, v předchozích programových obdobích postupně nabývala na významu. Právní rámec pro programové období 2014–2020 rozšířil oblast jejich použitelnosti a zavedl řadu změn, jejichž účelem je posílit rámec pro provádění. S ohledem na tato zvýšená očekávání a s tím spojená rizika, zejména co se týče pravděpodobné míry využití a účinného a účelného využívání finančních prostředků, provedl útvar IAS souběžně dva audity příprav na období 2014–2020, a to v GŘ REGIO a GŘ EMPL.

GŘ REGIO a EMPL by měla bedlivě monitorovat konečné fáze před přijetím OP, včetně navazujících opatření v reakci na připomínky Komise. GŘ by také měla vyjasnit minimální požadavky pro dokumentaci práce referentů a zajistit, aby je referenti dodržovali. Obě GŘ by měla zajistit, aby referenti aktivně zpochybňovali hodnověrnost stanovených milníků/cílů a aby toto posouzení dokumentovali. Co se týče používaného systému IT (WAVE), měla by zajistit, že budou včas definovány a dohodnuty obchodní postupy, zajistit stabilní projektový tým, vypracovat spolehlivé projektové plánování a monitorovat a zdokonalovat metody vývoje IT a řešení závad, aby zajistila stabilní platformu.

K vyřešení těchto problémů by GŘ EMPL a REGIO měla vyjasnit mezery zjištěné v auditní strategii, aby zajistila, že postupy budování věrohodnosti budou u obou GŘ už od počátku spolehlivé. Měla by proto svou auditní strategii dále rozpracovat s ohledem na získávání jistoty o spolehlivosti auditního orgánu. Roční zaměření auditní strategie by mělo doprovázet víceleté budování věrohodnosti a audity by měly být plánované takovým způsobem, aby se optimalizovalo využití lhůty pro uchovávání dokumentů. Kromě toho by GŘ měla časněji plánovat preventivní systémové audity.

Zpráva byla zahrnuta do vzájemného hodnocení návrhů výročních zpráv o činnosti ještě před dokončením výroční zprávy o činnosti za rok 2013. GŘ všechny poznatky a doporučení přijalo a doporučení v největší možné míře zohlednilo při vypracování své výroční zprávy o činnosti za rok 2013. Nedávné následné kroky ukázaly, že všechna zbývající opatření vyplývající z těchto velmi důležitých doporučení byla provedena a zapracována do výroční zprávy o činnosti za rok 2014.

Při vypracování výroční zprávy o činnosti za rok 2013 mělo GŘ REGIO u každého operačního programu analyzovat, zda je použití míry chyb vztahující se k výdajům předchozího roku oprávněné jako nejlepší odhad při výpočtu kumulativního rizika zbytkových chyb / míry zbytkových chyb a rizikové částky pro rok stávající. Ve výročních zprávách o činnosti za rok 2014 a dále by záporné údaje týkající se jednotlivých operačních programů již neměly být převáděny do výpočtů za následující rok.

Záporné údaje o kumulativním riziku zbytkových chyb / míře zbytkových chyb mohou být u řady operačních programů převedeny do dalších let a zahrnuty do výpočtu celkového průměrného kumulativního rizika zbytkových chyb / míry zbytkových chyb pro všechny operační programy. To vede k podhodnocení celkového údaje o kumulativním riziku zbytkových chyb / míře zbytkových chyb zhruba o 10 %. Míry chyb vztahující se k předchozímu roku jsou navíc používány k odhadu chyb pro stávající rok, ačkoli tyto míry chyb nepředstavují vždy nejlepší dostupný odhad, například v případech, kdy byly provedeny podstatné změny v systémech řízení a kontroly. To může vést k podhodnocení či nadhodnocení údajů o kumulativním riziku zbytkových chyb / míře zbytkových chyb.

Údaje poskytnuté členskými státy o odňatých a zpětně získaných prostředcích nejsou vždy spolehlivé, zčásti kvůli omezením ve vztahu ke způsobu, jakým jsou oznamovány Komisi, ale také proto, že auditní orgány u nich provádějí pouze omezené kontroly. Kromě toho systém umožňuje, aby určité prvky byly ve výpočtu započítávány dvakrát a aby byly klíčové předběžné informace o odňatých / zpětně získaných prostředcích zohledněny ještě před jejich potvrzením. To všechno společně zvyšuje riziko nadhodnocení údajů a následného podhodnocení kumulativního rizika zbytkových chyb / míry zbytkových chyb. GŘ musí do budoucna provádět systematičtější kontroly číselných údajů členských států a zajistit, aby jeho auditní činnost přinášela potřebné krytí a řešila riziko nadhodnocení. GŘ REGIO by mělo posoudit, jakou jistotu má ohledně toho, že zpětné vracení částek a formální dohody jsou skutečně prováděny v praxi a že zprávy členských států o odňatých a zpětně získaných prostředcích, předložené v předstihu před lhůtou 31. března, jsou správné, a to dříve než tyto údaje zohlednění. Prováděcí akty pro programové období 2014–2020 by kromě toho měly zlepšit způsob, jak členské státy odňaté a zpětně získané prostředky vykazují.

Míry chyb uvedené ve zprávách vnitrostátních auditních orgánů se významně liší co do spolehlivosti a existuje riziko, že jsou podhodnocené. GŘ REGIO by mělo pokračovat ve svém úsilí o zvyšování spolehlivosti práce auditních orgánů tak, že zajistí, aby jeho pokyny byly prováděny v praxi, a zpřísní požadavky na podávání zpráv v programovém období 2014–2020.

GŘ RTD by v koordinaci s ostatními útvary činnými v oblasti výzkumu rovněž mělo aktualizovat společnou strategii těchto útvarů proti podvodům, včetně konkrétních opatření ke zlepšení činností v oblasti předcházení a odhalování podvodů, a zejména se zaměřit na rizika vědeckých a profesních pochybení, dvojího financování a plagiátorství. GŘ by dále mělo vypracovávat a provádět jasné pokyny ohledně uplatňování finančních a nefinančních sankcí v rámci 7. RP a v rámci programu Horizont 2020 a vypracovat soubor klíčových ukazatelů výkonnosti, aby mohlo měřit výkonnost boje proti podvodům, a vyvinout vhodný nástroj pro sledování a podávání zpráv o případných případech podvodů.

IAS doporučil, aby GŘ zajistilo, že si jeho zaměstnanci budou plně uvědomovat odpovědnost Komise v této oblasti a budou od společných podniků pro společné technologické iniciativy získávat co nejúplnější a co nejaktuálnější informace pro účely jeho vlastní výroční zprávy o činnosti a zajistí, že GŘ bude mít od všech jednotlivých společných podniků pro společné technologické iniciativy konzistentní informace týkající se výpočtu míry zbytkových chyb a kritérií významnosti.

GŘ CNECT by mimoto mělo ve spolupráci s GŘ RTD zajistit, aby byly k dispozici účinné a integrované nástroje IT pro odhalování případů dvojího financování a plagiátorství, které bude možné používat ve všech výzkumných službách Komise, přičemž bude nastolena správná rovnováha mezi pokrytím nejrizikovějších projektů a náklady na kontroly. GŘ CNECT by mělo vytvořit příslušné vnitřní postupy tak, aby odhalování plagiátorství bylo začleněno do stávajících postupů.

Audit zjistil známky značného pokroku, ale i oblasti, jež vyžadují i nadále pozornost. V souvislosti s tím by JRC mělo přijmout kroky k vymezení jednotlivých postupů souvisejících se zbožím/službami, které ve svém souhrnu mohou během roku dosáhnout prahových hodnot, a proto by se na ně vztahoval širší postup.

K řešení obou těchto velmi důležitých otázek by GŘ TAXUD mělo vytvořit účinnější systém měření výkonnosti pro výbory a skupiny s jasnějším vymezením odpovědností, zlepšením koordinace a sledováním zdrojů. GŘ by rovněž mělo zdokonalit svůj vlastní systém měření výkonnosti účinnějším uplatňováním plánu řízení a řízení rizik jakožto nástrojů řízení a posílením vnitřní komunikace.

Rozpočtová podpora je druh pomoci financovaný jednak z rozpočtu EU, jednak z Evropského rozvojového fondu (ERF), a v roce 2014 představovala 24 % celkových plateb GŘ. Charakteristickým rysem rozpočtové podpory je to, že není možné sledovat, jak byly peníze z příspěvku využity, protože finanční prostředky se převedou do státní pokladny přijímající země. Odpovědnost Komise při účtování a auditu těchto zdrojů se proto omezují na zajištění toho, že byly splněny podmínky pro vyplacení a že finanční prostředky byly převedeny v souladu s dohodou uzavřenou s danou zemí.

Vzhledem k podmínkám, v nichž GŘ DEVCO pracuje, je důležité, aby řádně fungovaly systémy kontroly řízení, tak aby se zmírnilo finanční riziko pro rozpočet EU a riziko poškození dobrého jména a zvýšila se možnost dosažení nákladové efektivnosti prostředků daňových poplatníků. Vydávání prohlášení o věrohodnosti vedoucími delegací je účinným prostředkem poskytování ujištění o fungování vnitřního kontrolního prostředí, což IAS vítá. IAS dospěl k závěru, že proces zpráv o řízení vnější pomoci je dobře strukturovaný a v rámci delegací EU dobře organizovaný za odpovědnosti vedoucího delegace, který své prohlášení o věrohodnosti podepisuje, jak to vyžaduje finanční nařízení. IAS nicméně konstatoval, že tento proces by bylo možné dále zlepšit tím, že se delegacím EU poskytnou jasné pokyny ohledně i) prvků/událostí, které by měly nebo mohly vyvolat výhradu delegace EU, a ii) důsledků, k nimž může vznesení výhrady vést. Útvar IAS odhalil jednu velmi důležitou problematickou otázku: neexistují jasné pokyny ohledně toho, kde a jak by vedoucí delegace měl v prohlášení o věrohodnosti vyjádřit výhradu.

Posouzení rizik vycházelo také z auditu postupu při vypracování výročních zpráv o činnosti GŘ DEVCO provedeného v roce 2012, který dospěl k závěru, že by měl být posílen řetězec podávání zpráv (známý jako „systém kontrolní pyramidy“) od vedoucích delegací k ředitelům (dále pověřeným schvalujícím osobám) v GŘ DEVCO a od ředitelů ke generálnímu řediteli GŘ DEVCO (pověřené schvalující osobě) a měla by se zvýšit účelnost zpráv o řízení vnější pomoci jako nástroje k zajištění odpovědnosti (věrohodnosti) a nástroje řízení mezi delegacemi a ústředím.

IAS doporučil, aby GŘ ECHO vzhledem k přechodu na novou kulturu založenou na výkonnosti a k většímu důrazu na efektivnost nákladů v Komisi dále rozvíjelo svůj rámec pro monitorování. GŘ by rovněž mělo provádět analýzu nejčastějších příčin selhání projektů a mělo by zajistit, aby existovala auditní stopa u důvodů pro přijetí konečné úhrady projektů; GŘ ECHO by také mělo znovu posoudit své potřeby v oblasti podávání zpráv ve spojení se zprávami o monitorovacích návštěvách v terénu. A konečně by GŘ ECHO mělo posílit svou strategii ověřování tak, aby zahrnovala cíle i dílčí cíle a řešila náklady a přínosy kontrol.

Základní činnost GŘ AGRI silně závisí na systémech IT. Podporují zejména zemědělské trhy, přímou pomoc a rozvoj venkova a činnosti související s finančním řízením a řízením auditu. Činnosti a zdroje související s informačními technologiemi jsou řízeny místně, hlavně v oddělení IT.

K řešení těchto problémů by FPI měla vypracovat a uplatňovat strategii pro zamezení a zjišťování podvodů v misích SBOP / u zvláštních zástupců EU a měla by zajistit, že zaměstnanci plnící rozpočet SZBP jsou pravidelně školeni v problematice boje proti podvodům a v otázkách etiky. Misím by měly být rovněž poskytnuty účinné a centralizované pokyny týkající se otázek vnitřní kontroly a FPI by měla přehodnotit svou strategii kontroly zvýšením její účinnosti ve fázi provádění tak, aby se co nejvíce snížila výše nezpůsobilých výdajů zjištěných následnými kontrolami, a měla by také přezkoumat svou strategii auditu u zmocnění. FPI by rovněž měla v souladu se stávajícími pokyny GŘ BUDG k výročním zprávám o činnosti uplatňovat víceletý přístup při výpočtu míry chyb u činností, které mají víceletou povahu, založený na platbách, jež byly skutečně podrobeny auditu, a měla by přijmout kroky k provádění alternativního způsobu posuzování, který by doplnil stávající metodiku pro zajištění věrohodnosti.

K řešení tohoto problému by GŘ DEVCO mělo zdokonalit stávající pokyny pro vedení politického dialogu. GŘ DEVCO by také mělo zahrnout prvky politického dialogu pro určité sektory/subsektory do finanční dohody (nebo do jiného dokumentu sjednaného s vnitrostátními orgány), aby bylo možné lépe předvídat hlavní zaměření politického dialogu a v konečném důsledku přispět k dosažení vytyčených cílů u konkrétních ukazatelů stanovených v technických a správních ustanoveních.

IAS celkově konstatoval, že místní informační systémy GŘ AGRI účinně plní svou funkci podporovat provádění činností GŘ AGRI poskytováním řešení v oblasti IT sladěných s provozními potřebami a prioritami. IAS však upozornil GŘ AGRI na dvě velmi důležité otázky týkající se správy IT a strategie v oblasti IT.

GŘ ještě musí dále posílit rámec správy IT vyjasněním úloh a odpovědnosti jednotlivých subjektů/aktérů. GŘ by zejména mělo posílit řídící úlohu Řídícího výboru pro informační technologie a řídících výborů informačních systémů / projektů, jakož i účast provozní složky v procesu rozhodování.

GŘ AGRI by rovněž mělo vytvořit komplexní strategii v oblasti IT, která stanoví dlouhodobé směrování investic GŘ do informačních technologií a jejich sladění s provozními cíli. Nebudou-li tyto otázky náležitě řešeny, mohou vést k neúčinnému/neúčelnému rozhodování, pokud jde o činnosti v oblasti IT, a k nedostatečnému sladění IT s cíli GŘ a celé Komise.

GŘ vypracovalo akční plán pro zapracování doporučení, který útvar IAS považuje za vyhovující.

Pro další podrobnosti viz oddíl 8.1 pracovního dokumentu útvarů Komise.

4.6.2.Audit řízení IT v GŘ BUDG

GŘ BUDG je při plnění svých úkolů silně závislé na informačních systémech. Generální ředitel je vlastníkem systému centrálních finančních informačních systémů včetně systému ABAC (pro registraci plnění rozpočtu a účetnictví), Badgebud (pro přípravu rozpočtu) a RAD (pro následnou kontrolu a výroční absolutorium), které většinou vyvíjí a spravuje GŘ BUDG.

Celkovým cílem tohoto auditu bylo posoudit, zda řízení v oblasti IT v GŘ BUDG zajišťuje optimální sladění mezi provozem GŘ a IT, řádné řízení zdrojů a efektivní řešení v oblasti IT. Audit se zaměřil na stávající rámec GŘ BUDG pro řízení jeho činností v oblasti IT a dohled nad nimi. Všímal si zejména návrhu a provádění procesů a stávajících organizačních struktur, aby bylo zajištěno, že informační technologie náležitě podporují strategie a cíle GŘ.

Celkově funkce informačních technologií GŘ BUDG poskytuje efektivní řešení v oblasti IT, pokud jde o dostupnost finančních systémů, spolehlivost účetnictví a soulad s právními povinnostmi. IAS nicméně zjistil velmi důležité problémy v těchto oblastech: řízení IT, organizace IT a určování priorit a plánování v oblasti IT.

GŘ BUDG by mělo posílit stávající systém řízení IT tím, že provede revizi rozmístění, složení a pověření řídících subjektů a zajistí jejich účelné fungování. Zasedání řídícího výboru pro IT by se měla konat častěji a měly by být vyjasněny role vlastníka systému, vlastníka provozu a vlastníka údajů v různých informačních systémech.

GŘ BUDG by rovněž mělo zefektivnit svou organizaci IT reorganizací kapacity IT do homogenních oblastí a sjednotit úkoly související s IT na základě seznamu činností souvisejících s IT, které jsou v rámci GŘ BUDG v současnosti prováděny, a dostupných kompetencí. GŘ by mělo zejména oddělit úkoly týkající se dodávek IT a poptávky po IT a regulovat vztah mezi oběma těmito složkami.

Stanovení priorit a plánování by mělo být nastaveno dosažitelněji a s jasnějším vymezením odpovědností tak, aby dodávky probíhaly podle plánu, včas a s dodržením rozpočtu. Při plánování svých činností v oblasti IT by GŘ BUDG proto mělo vzít v úvahu dostupné zdroje a existující omezení, aby se vyhnulo nerealistickým očekáváním a pravděpodobným selháním/zpožděním. GŘ by také mělo zajistit, aby byly provozní žádosti sdělovány oddělení IT včas, což mu umožní přesněji plánovat své činnosti.

GŘ vypracovalo akční plán pro zapracování doporučení, který útvar IAS považuje za vyhovující.

Pro další podrobnosti viz oddíl 8.2 pracovního dokumentu útvarů Komise.

4.6.3.Audit řízení logického přístupu do systémů (ECAS/LDAP/Windows) v GŘ DIGIT

Ověřovací služba Evropské komise (ECAS) je primární ověřovací systém používaný v Evropské komisi. Jde o jediné úložiště oprávnění (přihlašovací uživatelské jméno, heslo), které slouží přibližně 1,3 milionu uživatelů (interních i externích) majícím přístup k informačním systémům na úrovni orgánu a místním informačním systémům, jež podporují správní a finanční činnosti a činnosti související s politikami. Službu ECAS interně vyvinulo GŘ DIGIT a je spravována v datovém centru. V roce 2013 zahájilo GŘ DIGIT rozsáhlý projekt (nazvaný Exodus), jehož cílem je modernizovat infrastrukturu informačních technologií služby ECAS a posílit bezpečnost této služby a který v současnosti probíhá.

Celkovým cílem auditu bylo posoudit, zda systém kontroly zavedený GŘ DIGIT zajišťuje, aby ověřovací služba ECAS náležitě podporovala potřeby bezpečného přístupu do informačních systémů Komise.

Audit prokázal, že služba ECAS v posledních letech fungovala dobře, bez vážnějších stížností ze strany uživatelů, a využívá ji stále více aplikací na úrovni orgánu a místních aplikací. Byla též vyvíjena tak, aby mohla zajišťovat některé další funkce a lépe reagovat na bezpečnostní výzvy. GŘ DIGIT musí nicméně dále posílit řízení poskytovaných služeb a řízení bezpečnosti služby ECAS, aby mohla tato služba nabízet společenství uživatelů efektivnější a bezpečnější ověřovací služby.

IAS zjistil velmi důležité problémy v těchto oblastech: koncepce a strategie správy identit a řízení přístupu; bezpečnostní požadavky na službu ECAS; řízení požadavků a plánování projektu Exodus; a závislost služby ECAS na aplikacích Windows Active Directive, Commission Enterprise Directory a Central User Directory.

K řešení těchto otázek by GŘ DIGIT mělo aktualizovat koncepci správy identit a řízení přístupu a zajistit, že bude náležitě převedena do dlouhodobé strategie a ročních plánů s jasnými cíli a výsledky.