C 167/1

MEDDELELSE FRA KOMMISSIONEN

Retningslinjer for aflæggelse af årlige revisionsrapporter i henhold til artikel 15, stk. 8, i direktiv 2014/40/EU inden for rammerne af EU's sporbarhedssystem for tobaksvarer

(EØS-relevant tekst)

(2020/C 167/01)

ANSVARSFRASKRIVELSE: Formålet med dette dokument er at vejlede godkendte revisorer i revisionens omfang og proceduren for aflæggelse af den årlige revisionsrapport. Det er ikke juridisk bindende, men indeholder generelle retningslinjer med anbefalinger og afspejler bedste praksis. Disse retningslinjer berører ikke eventuelle nationale regler.

1. Indledning

I henhold til artikel 15 i Europa-Parlamentets og Rådets direktiv 2014/40/EU (1) skal der indføres et EU-sporbarhedssystem for tobaksvarer med henblik på at imødegå problemet med ulovlig handel. Systemet blev taget i drift den 20. maj 2019.

Som led i dette system skal medlemsstaterne i henhold til artikel 15, stk. 8, i direktiv 2014/40/EU sikre, at fabrikanter og importører af tobaksvarer indgår aftaler om lagring af data med en uafhængig tredjepart (»tredjepartsleverandør«) med henblik på at etablere en datalagerfacilitet til at administrere data vedrørende tobaksvarer fra individuelle fabrikanter og importører (»primært datalager«).

For at sikre, at sporbarhedssystemet fungerer uafhængigt, foreskriver artikel 15, stk. 8, i direktiv 2014/40/EU, at en ekstern revisor skal føre tilsyn med det primære datalagers og dets tredjepartsleverandørs aktiviteter. Revisoren skal foreslås og betales af tobaksfabrikanten og godkendes af Kommissionen. Den eksterne revisor skal forelægge sin vurdering i form af en årsrapport til de nationale kompetente myndigheder og til Kommissionen, hvori vedkommende især vurderer eventuelle tilfælde af uregelmæssigheder vedrørende adgangen.

Formålet med dette dokument er at vejlede godkendte revisorer i revisionens omfang og proceduren for aflæggelse af den årlige revisionsrapport. Det bør læses sammenholdt med Kommissionens gennemførelsesforordning (EU) 2018/574 (2), hvorved de tekniske krav til oprettelse og drift af sporbarhedssystemet, herunder for primære datalagre, fastsættes, samt Kommissionens delegerede forordning (EU) 2018/573 (3), hvorved nøgleelementerne i aftaler om lagring af data, der skal indgås som led i et sporbarhedssystem, fastlægges.

Dette dokument tilbydes som et redskab til hjælp for godkendte revisorer; der er tale om ikke-bindende retningslinjer, som ikke skaber nogen nye retlige forpligtelser. I det omfang disse retningslinjer fortolker retsregler, foregriber Kommissionens holdning ikke eventuelle fortolkninger af nævnte direktiv fra EU-Domstolens side.

2. Generel baggrund for revisionsbesøg

Ethvert primært datalager, som en fabrikant indgår aftale med, er underlagt en årlig revisionsproces. Hvis den samme tredjepartsleverandør driver to eller flere primære datalagre, bør der foretages særskilt revision af — og forelægges en særskilt revisionsrapport for — hvert enkelt datalager.

En revision skal omfatte et primært datalager samt tjenester i tilknytning hertil, herunder en vurdering af, hvorvidt den pågældende tredjepartsleverandør og, hvis det er relevant, dennes underleverandører opfylder de relevante lovkrav i direktiv 2014/40/EU, gennemførelsesforordning (EU) 2018/574 og delegeret forordning (EU) 2018/573.

Enhver fabrikant eller importør skal meddele Kommissionen navnet på den revisor, den foreslår til at revidere sit primære datalager, og på den relevante tredjepartsleverandør. Alle foreslåede revisorer skal godkendes af Kommissionen.

3. Revisionens omfang

Formål og anvendelsesområde

Revisionsrapporter skal forelægges med det formål at informere de nationale kompetente myndigheder og Kommissionen om, hvad revisorerne er nået frem til, navnlig vedrørende mulige uregelmæssigheder i relation til adgangen til de data, der lagres i de primære datalagre.

En revisionsrapport bør indeholde særskilte kapitler for hvert af de seks områder, der er angivet nedenfor. Hvert kapitel bør dække kontrolpunkterne for det pågældende område som angivet på tjeklisten i bilaget.

Revisionsbesøg bør gennemføres i overensstemmelse med denne tjekliste, som beskriver de nødvendige områder og kontrolpunkter i overensstemmelse med ISO/IEC 27001:2013 om ledelsessystemer for informationssikkerhed (4). Med henblik herpå bør revisoren notere sig, at der i artikel 10 i Kommissionens delegerede forordning (EU) 2018/573 henvises til ISO/IEC 27001:2013 som den foretrukne standard for informationssikkerhedsledelse i forbindelse med drift af primære datalagre.

Område Formål Organisatorisk og fysisk sikkerhed At etablere en ledelsesramme for informationssikkerhed inden for organisationen. At sikre, at medarbejdere og kontrahenter forstår deres ansvarsområder og er egnede til de roller, de er tiltænkt. At forhindre uautoriseret fysisk adgang til samt beskadigelse og forstyrrelse af organisationen, herunder information og informationsbehandlingsfaciliteter. At undgå tab, skade, tyveri eller kompromittering af aktiver og driftsafbrydelse i organisationen. Driftssikkerhed At sikre korrekt og sikker drift af informationsbehandlingsfaciliteter. At beskytte mod tab af data. At registrere hændelser og tilvejebringe bevis. At sikre integriteten af driftssystemer. At forhindre udnyttelse af tekniske sårbarheder. Adgangsstyring (brugere og applikationer) At begrænse adgangen til information og informationsbehandlingsfaciliteter. At sikre adgang for autoriserede brugere og forhindre uautoriseret adgang til systemer og tjenester. At gøre brugere ansvarlige for at sikre deres autentifikationsinformation. At forhindre uautoriseret adgang til systemer og applikationer. At sikre, at informationssikkerhed tilrettelægges og implementeres inden for informationssystemers udviklingslivscyklus. Kommunikationssikkerhed At sikre korrekt og effektiv brug af kryptografi for at beskytte informationers fortrolighed, autenticitet og/eller integritet. At sikre beskyttelse af informationer i netværk og af understøttende informationsbehandlingsfaciliteter. At opretholde informationssikkerhed ved overførsel internt i en organisation og i eksterne enheder. Informationssikkerhedskontinuitet At sikre en ensartet og effektiv metode til styring af informationssikkerhedsbrud, herunder kommunikation om sikkerhedshændelser og -svagheder. Informationssikkerhedskontinuiteten skal være forankret i organisationens ledelsessystemer for nød-, beredskabs- og reetableringsstyring. At sikre tilgængelighed af informationsbehandlingsfaciliteter. At forhindre overtrædelse af lov-, myndigheds- eller kontraktkrav i relation til informationssikkerhed og andre sikkerhedskrav. Aktivers og datas integritet At identificere organisationens aktiver og definere passende ansvarsområder til beskyttelse heraf. At sikre passende beskyttelse af information. At forhindre uautoriseret offentliggørelse, ændring, fjernelse eller destruktion af information lagret på medier.

Konklusioner og anbefalinger

Konklusionerne af en revision bør gives for hvert af kontrolpunkterne på tjeklisten.

I en revisionsrapport bør kun resultater, der vedrører problemer med manglende overensstemmelse eller andre identificerede risici, fremhæves og uddybes. Resultaterne bør også ledsages af passende anbefalinger med angivelse af, hvilke foranstaltninger der er nødvendige for at afhjælpe de problemer og mangler, der er konstateret under revisionen.

4. Proceduremæssige aspekter

Hyppighed

Revisorer skal indsende deres revisionsrapporter hvert år. Eftersom sporbarhedssystemet blev taget i drift den 20. maj 2019, opfordres revisorer til at indsende deres første årlige revisionsrapporter, som dækker sporbarhedssystemets første driftsår (dvs. 20. maj 2019-19. maj 2020), senest den 30. november 2020. Derefter opfordres revisorerne til at indsende årsrapporter for de efterfølgende regnskabsår inden udgangen af oktober hvert kalenderår.

Opfølgning på revisionen

I tilfælde af opfølgning med henblik på at vurdere, hvorvidt den pågældende tredjepartsleverandør har implementeret anbefalingerne i den årlige revisionsrapport på tilfredsstillende vis, opfordres revisoren til om muligt at forelægge resultaterne for Kommissionen og de nationale kompetente myndigheder senest tre måneder efter aflæggelsen af den årlige revisionsrapport.

5. Proceduremæssige aspekter af revisionsrapporter

Information om revisorer

Navn(e) på revisoren/revisorerne og, hvis det er relevant, de(t) tilknyttede revisionsfirma(er) bør angives i indledningen til revisionsrapporten.

Format

Revisionsrapporten fremlægges i elektronisk format (søgbar, ikke-beskyttet PDF).

Revisorerne opfordres til om muligt at indsende deres årsrapporter til Kommissionen på engelsk.

Forelæggelsesprocedure

Den årlige revisionsrapport og enhver opfølgning på en sådan rapport forelægges elektronisk via e-mail til SANTE-TT-SW@ec.europa.eu med angivelse af følgende i emnefeltet: »Audit report [Follow-up to the audit report] for [år] — [Navn på den ordregivende fabrikant] — [Navn på den reviderede tredjepartsleverandør]«.

Gennemsigtighed

For at fremme gennemsigtigheden og ansvarligheden i sporbarhedssystemet for tobaksvarer samlet set opfordrer Kommissionen fabrikanterne til — på frivillig basis — med deres respektive revisorer at aftale også at forelægge Kommissionen en offentlig version af deres revisionsrapport, hvori alle personlige og kommercielt følsomme data er udeladt.

Sådanne offentlige versioner af revisionsrapporterne vil blive offentliggjort på Kommissionens særlige websted.

(1) Europa-Parlamentets og Rådets direktiv 2014/40/EU af 3. april 2014 om indbyrdes tilnærmelse af medlemsstaternes love og administrative bestemmelser om fremstilling, præsentation og salg af tobak og relaterede produkter og om ophævelse af direktiv 2001/37/EF (EUT L 127 af 29.4.2014, s. 1).

(2) Kommissionens gennemførelsesforordning (EU) 2018/574 af 15. december 2017 om tekniske standarder for oprettelse og drift af et sporbarhedssystem for tobaksvarer (EUT L 96 af 16.4.2018, s. 7).

(3) Kommissions delegerede forordning (EU) 2018/573 af 15. december 2017 om nøgleelementerne i aftaler om lagring af data, der indgås som led i et sporbarhedssystem for tobaksvarer (EUT L 96 af 16.4.2018, s. 1).

(4) ISO/IEC 27001:2013. Informationsteknologi — Sikkerhedsteknikker — Ledelsessystemer for informationssikkerhed — Krav. Kravene i henhold til ISO/IEC 27001:2013 er generiske og er beregnet til at finde anvendelse på alle organisationer uanset type, størrelse eller art.