Den oprindelige plan for 2020 omfattede 43 revisionsopgaver (revisioner, undersøgelser og rådgivningsopgaver, men ikke opfølgningsrapporter), som efter planen færdiggøres inden skæringsdatoen den 31. januar 2021. Planen omfattede yderligere 37 revisionsopgaver, der efter planen skulle påbegyndes inden den 31. januar 2021 og færdiggøres efter denne dato. Planen for 2020 blev ajourført midt på året. Revisionsopfølgningsudvalget tog både de oprindelige og ajourførte planer i betragtning. I 2020 gennemførte Den Interne Revisionstjeneste også tilbundsgående risikovurderinger i de forskellige generaldirektorater og tjenestegrene. På grundlag af resultaterne af disse vurderinger vedtog den interne revisor den strategiske revisionsplan for 2021-2023 for Kommissionen.

Revisionsopfølgningsudvalget bistår kommissærkollegiet med at opfylde dets forpligtelser i henhold til traktaterne, finansforordningen og andre retsakter. Det gør det ved at: i) sikre Den Interne Revisionstjenestes uafhængighed, ii) overvåge kvaliteten af det interne revisionsarbejde, iii) sikre, at Kommissionens tjenestegrene tager behørigt hensyn til interne og eksterne revisionshenstillinger samt iv) sikre, at der følges op på disse henstillinger på hensigtsmæssig vis. På denne måde bidrager revisionsopfølgningsudvalget til at øge Kommissionens effektivitet med hensyn til at nå sine mål. Revisionsopfølgningsudvalget letter også kollegiets tilsyn med Kommissionens praksis i forbindelse med forvaltning, risikostyring og intern kontrol.

Den Interne Revisionstjenestes mål er at øge og beskytte den organisatoriske værdi ved at yde risikobaseret og objektiv revision, rådgivning og indsigt. Gennem systematisk og grundig vurdering af forretningsgangene bidrager Den Interne Revisionstjeneste til opfyldelsen af Kommissionens mål og til at få risikostyringen, kontrollen og ledelsesprocedurerne til at fungere mere effektivt. Tjenesten skal bl.a. foretage vurderinger og fremsætte passende henstillinger til forbedring af risikostyrings-, kontrol- og ledelsesprocedurerne med henblik på at nå følgende tre mål: i) fremme af hensigtsmæssige etiske regler og værdier i organisationen, ii) sikring af effektiv resultatstyring og ansvarlighed i organisationen samt iii) effektiv formidling af risiko- og kontrolinformation til relevante dele af organisationen. I den forbindelse sigter Den Interne Revisionstjeneste mod at fremme en virkningsfuld og effektiv ledelseskultur i Kommissionen og dens tjenestegrene.

Data er et strategisk aktiv i en offentlig organisation. EU's politikker og gennemførelsen af EU-programmer er i stigende grad datadrevne. De politiske beslutningstagere anvender kvantificeret dokumentation til at træffe informerede beslutninger. Der anvendes også data til at vise EU-budgettets effektivitet og de fremskridt, der er gjort med hensyn til at nå målene for dets udgiftsprogrammer. På tværs af Kommissionens tjenestegrene bør data være bredt tilgængelige og udveksles, hvor det er relevant, for at forbedre omkostningseffektiviteten. Samtidig skal Kommissionen sikre fuld overholdelse af retlige og andre fortrolighedskrav og garantere et højt sikkerhedsniveau for følsomme oplysninger. Behovet for at bevare høje standarder for beskyttelse af privatlivets fred, sikkerhed og etiske standarder uden at påvirke strømmen og den udbredte anvendelse af data er en integreret del af de politiske retningslinjer og understreget i von der Leyen-Kommissionens arbejdsmetoder.

Den Interne Revisionstjeneste har i overensstemmelse med sin metodologi og bedste praksis tacklet effektivitet på en indirekte måde, nemlig ved at undersøge, hvorvidt og hvordan forvaltningen har oprettet kontrolsystemer til at vurdere og give sikkerhed for resultatet (effektiviteten) af sine aktiviteter. Formålet med denne tilgang er at sikre, at generaldirektorater og tjenestegrene har udviklet passende resultatrammer, resultatmålingsværktøjer, nøgleindikatorer og overvågningssystemer.

For at bidrage til Kommissionens resultatbaserede kultur og øgede fokus på merværdi har Den Interne Revisionstjeneste gennemført to slags revisioner i 2020, forvaltningsrevisioner og omfattende revisioner af vigtige resultatelementer. De indgik i Den Interne Revisionstjenestes strategiske revisionsplan for 2019-2021.

Alt i alt mener Den Interne Revisionstjeneste, at gennemførelsen af dens henstillinger er tilfredsstillende og kan sammenlignes med tidligere rapporteringsperioder. Denne status viser, at Kommissionens tjenestegrene er omhyggelige med at gennemføre de kritiske og meget vigtige henstillinger, og at de dermed afbøder de risici, som Den Interne Revisionstjeneste har udpeget. Der skal imidlertid lægges mærke til de individuelle henstillinger med vurderingen "meget vigtig", som ikke er blevet efterkommet længe efter fristen.

Af disse 285 ikkegennemførte henstillinger har 5 vurderingen "kritisk", 83 vurderingen "meget vigtig", og 76 er ikke efterkommet inden for fristen (dvs. ikke gennemført på den oprindeligt aftalte gennemførelsesdato). Disse henstillinger, der ikke er efterkommet inden for fristen, udgør 7,5 % af de i alt 1 010 (delvist) accepterede henstillinger. Ud af disse 76 henstillinger, der ikke er efterkommet inden for fristen, er seks meget vigtige henstillinger, som er meget forsinkede (dvs. at henstillingen stadig ikke er gennemført mere end seks måneder efter den oprindelige gennemførelsesdato). Disse meget vigtige henstillinger, som er meget forsinkede, udgør 0,6 % af det samlede antal kritiske og meget vigtige accepterede henstillinger i perioden 2016-2020 (sammenlignet med 0,3 % i den foregående rapporteringsperiode).

I denne udfordrende kontekst gennemførte Den Interne Revisionstjeneste en række revisioner, der omfattede forskellige aspekter af dataforvaltning. Resultaterne af disse revisioner viser klart, at der er behov for betydelige forbedringer på dette område fremover, og en række meget vigtige henstillinger, der blev fremsat i 2020, vedrører datastyring.

I revisionen af data-, informations- og videnstyring blev effektiviteten af Kommissionens data-, informations- og videnstyringsstrategi vurderet. Det blev konkluderet, at Kommissionen bør fastlægge en særlig strategi og struktur med henblik på at: 1) forbedre den måde, hvorpå data, information og viden indsamles, forvaltes, deles og bevares, og 2) udvikle nye muligheder for samarbejde. Den Interne Revisionstjeneste anerkendte, at der inden for rammerne af den nuværende strategi og forvaltningsstruktur var taget vigtige skridt til at fastsætte prioriteter, koordinere og forvalte aktiviteterne på data-, informations- og videnstyringsområdet. Der er imidlertid behov for forholdsmæssige forbedringer på centrale områder, som vil gøre det muligt for Kommissionen at have en strategi for data-, informations- og videnstyring, der er i fuld overensstemmelse med dens politiske mål og prioriteter, for at styrke ledelsesorganets tilsynsrolle (styringsrådet for informationsstyring) og for at sikre en effektiv forvaltning af data-, informations- og videnstyring. De foreslåede forbedringer har til formål at supplere den eksisterende ramme for bedre at kunne reagere på de udfordringer og ændringer, som gennemførelsen af en fuldt datadreven Kommission medfører.

I forbindelse med revisionen af Det Fælles Forskningscenters arbejde til støtte for EU's politik og videnforvaltning blev der peget på et relateret spørgsmål om tilpasning til Kommissionens prioriteter og mål. Det Fælles Forskningscenter er Europa-Kommissionens videnskabs- og videnstjeneste. I betragtning af at et af dets vigtigste mål er at støtte EU-politikker med den højeste kvalitet af uafhængig videnskabelig dokumentation i hele den politiske cyklus på en lang række områder, er tilstrækkelig data-, informations- og videnstyring afgørende for centrets succes. Selv om politiske støtte- og videnstyringsprocesser gennemføres effektivt for at sætte centret i stand til at mobilisere den tilgængelige ekspertise til at levere rettidige projektleverancer af høj kvalitet, som opfylder kundens behov for politisk støtte, er der en betydelig (meget vigtig) svaghed i udformningen af de processer, der påvirker deres effektive gennemførelse. Fastlæggelsen af behovene for politisk støtte på virksomheds- og generaldirektoratsniveau i hele Kommissionen bør styrkes betydeligt for at muliggøre en mere effektiv prioritering af centrets aktiviteter i overensstemmelse med Kommissionens prioriteter.

Et andet vigtigt aspekt af datastyringen er beskyttelse af oplysninger og bevarelse af fortroligheden af de forvaltede data. Dette er så meget desto vigtigere for klassificerede oplysninger, da uautoriseret videregivelse af sådanne oplysninger i væsentlig grad kan skade EU's eller en eller flere af dens medlemsstaters interesser. I forbindelse med revisionen af forvaltningen af Horisont 2020-tilskud i Forvaltningsorganet for Forskning konstaterede revisorerne, at selv om de forudgående kontroller af Horisont 2020-betalinger og procedurerne for afslutning af Horisont 2020-projekter var effektive, var der svagheder i forvaltningen af projekter, der omfattede EU-begrænsede oplysninger, hvilket i sidste ende førte til brud på sikkerheden.

Kommissionens digitale strategi supplerer dens strategi for data-, informations- og videnstyring. Den digitale strategi indeholder en vision for en digitalt transformeret, brugercentreret og datadrevet administration. En af drivkræfterne bag denne omstilling er cloud computing. Offentlig cloud computing har til formål at skabe fordele såsom forretningsmæssig fleksibilitet, brugervenlighed, datatilgængelighed, omkostningsbesparelser og bæredygtighed. En passende databeskyttelse bør dog også være en central overvejelse, når der vedtages informationsteknologiske løsninger i skyen. I forbindelse med revisionen af forvaltningen af offentlige cloud-tjenester anerkendte den interne revisionstjeneste de seneste års bestræbelser på at udvikle en vision for cloudbaserede IT-infrastrukturløsninger. Den Interne Revisionstjeneste anerkendte de skridt, som Kommissionen allerede har taget for at indføre passende ordninger for anvendelse af offentlige cloudtjenester som "infrastruktur som en tjeneste" og "platform som en tjeneste", men konkluderede samtidig, at styringen af og sikkerheden i forbindelse med disse cloudtjenester skulle forbedres betydeligt for at sikre, at de opfylder deres mål og samtidig mindsker risikoeksponeringen.

4.1.2.Databeskyttelse

To revisioner vurderede effektiviteten af de interne kontrolsystemer, der gør det muligt for de berørte generaldirektorater i Kommissionen at påvise overensstemmelse med forordning (EU) 2018/1725 om beskyttelse af personoplysninger. Begge revisioner afslørede væsentlige svagheder i de eksisterende interne kontrolsystemer. Dette eksponerer Kommissionen for omdømmemæssige risici, som kan påvirke opfyldelsen af dens overordnede mål om at blive en "moderne, højtydende og bæredygtig Kommission", navnlig på grund af dens centrale rolle i vedtagelsen af databeskyttelsesforordninger i Europa.

1.Den første revision omfattede fem generaldirektorater og tjenestegrene på virksomhedsniveau og lokalt plan og gav anledning til otte meget vigtige henstillinger i alt. Den Interne Revisionstjeneste konkluderede, at selv om Kommissionen har gjort gode fremskridt med hensyn til at indføre kontrolsystemer, der gør det muligt for generaldirektoraterne og tjenestegrenene at påvise overensstemmelse med det gældende retsgrundlag, er der stadig behov for en række væsentlige forbedringer for at styrke disse systemers effektivitet i bestræbelserne på at opnå fuld overholdelse. De vedrører: 1) de generelle rammer for databeskyttelsesaspekter, 2) databeskyttelsesrådgiverens rolle og tiltag til støtte for databeskyttelsesprocessen i hele Kommissionen og 3) anvendelse af målrettede foranstaltninger til at forbedre overholdelsen af centrale bestemmelser i forordning (EU) 2018/1725. Disse forbedringer bør ses som supplerende foranstaltninger, der har til formål at forbedre de eksisterende forvaltningsstrukturer og -processer i forbindelse med databeskyttelsesspørgsmål, samtidig med at principperne i Kommissionens nuværende decentraliserede model, som fortsat er gældende, respekteres.

2.Den anden revision blev gennemført i Generaldirektoratet for Uddannelse, Unge, Idræt og Kultur, som er ansvarligt for programmer som Erasmus+ og Det Europæiske Solidaritetskorps, og gav anledning til én kritisk og fire meget vigtige henstillinger. I forbindelse med deres deltagelse i disse programmer giver et stort antal personer nogle personoplysninger til generaldirektoratet. Som delegeret dataansvarlig behandler generaldirektoratet disse personoplysninger og videregiver dem til de nationale kontorer i EU's medlemsstater og tredjelande, som har ansvaret for at gennemføre projekterne på nationalt plan. Sammen med de nationale kontorer, der fungerer som databehandlere, skal Generaldirektoratet for Uddannelse, Ungdom, Sport og Kultur sikre, at de data, der modtages fra deltagerne i programmerne, er tilstrækkeligt beskyttet af alle aktører, som har adgang til disse data. Den Interne Revisionstjeneste konstaterede, at: 1) generaldirektoratet indførte visse elementer vedrørende beskyttelse af personoplysninger i de vejledende dokumenter og aftaler, der styrer programmerne, og 2) beskyttelse af personoplysninger udtrykkeligt nævnes i de nationale kontorers forvaltningserklæringer. Disse elementer er integrerede dele af kontrolsystemet til behandling af personoplysninger, men de er ikke altid tilstrækkeligt gennemført, og mere specifikt udgør de ikke de garantier, der kræves i forordning (EU) 2018/1725, for internationale dataoverførsler uden for EU/EØS-landene. Det interne kontrolsystem til beskyttelse af personoplysninger om modtagere og deltagere i programmerne Erasmus+ og Det Europæiske Solidaritetskorps blev ikke anset for at være effektivt med hensyn til at sikre overholdelse af forordningens centrale bestemmelser.

Et tværgående spørgsmål, der opstod i forbindelse med disse to revisioner, vedrører overførsel af personoplysninger til tredjelande. Ugyldiggørelsen af EU's og USA's værn om privatlivets fred ("Schrems II-dommen") udgør konkrete udfordringer for de tjenester, der overfører personoplysninger til tredjelande eller bruger skyen. Som svar på en kendelse fra Den Europæiske Tilsynsførende for Databeskyttelse gjorde Kommissionen status over mere end 600 behandlingsregistre, der kunne vedrøre problematiske internationale overførsler af personoplysninger. Den kritiske henstilling fra Den Interne Revisionstjeneste til Generaldirektoratet for Uddannelse, Ungdom, Sport og Kultur vedrørte overførsel af personoplysninger til tredjelande. Efter generaldirektoratets foranstaltninger foretog Den Interne Revisionstjeneste efter skæringsdatoen for denne årsberetning en vurdering af nogle af de foranstaltninger, som den reviderede havde gennemført. Den Interne Revisionstjeneste konkluderede, at Generaldirektoratet for Uddannelse, Ungdom, Sport og Kultur delvist afbødede risiciene og som følge heraf nedjusterede risikoniveauet for to henstillinger (fra "kritisk" til "meget vigtig" og fra "meget vigtig" til "vigtig").

Endelig blev der i forbindelse med en anden revision vedrørende forvaltningen af eksperter i forbindelse med tilskud under Horisont 2020 konstateret et problem med behandlingen af eksperternes personoplysninger, hvilket gav anledning til en meget vigtig henstilling.

4.1.3.Tilsynsstrategier vedrørende tredjeparters gennemførelse af programmer

De anvisningsberettigede skal udarbejde passende og effektive strategier og aktiviteter med henblik på at føre tilsyn med og overvåge de delegerede enheders effektive gennemførelse af programmerne og beskyttelsen af EU-budgettet og til omgående at løse eventuelle konstaterede problemer. I de foregående år har Den Interne Revisionstjeneste foretaget flere revisioner af de tilsynsordninger, der er indført i generaldirektoraterne og tjenestegrenene for tredjeparters gennemførelse af programmer (og/eller politikker). Den konstaterede ofte svagheder i tilsynsstrategiernes effektivitet. I sin generelle udtalelse om finansiel forvaltning udtalte Den Interne Revisionstjeneste i seks år i træk (2015-2020), at der skulle lægges vægt på tilsynsstrategier for tredjeparter, der gennemfører politikker. I 2020 fokuserede tre revisioner på EU-bidrag, der blev gennemført ved indirekte forvaltning.

Revisionen af søjlevurderinger med flere enheder afslørede væsentlige svagheder i det interne kontrolsystem for uddelegering af midler under indirekte forvaltning på virksomhedsniveau og lokalt plan i en række generaldirektorater i forbindelse med foranstaltninger udadtil. Selv om Kommissionen har gjort en stor indsats for at indføre et effektivt system for søjlevurderinger og fortsat investerer i yderligere udvikling af en virksomhedstilgang for at sikre en sammenhængende gennemførelse og mindske de store iboende risici, er der behov for en betydelig styrkelse af systemet. Dette er nødvendigt for at sikre et beskyttelsesniveau for EU-budgettet, der svarer til, når budgettet gennemføres direkte. De konstaterede væsentlige svagheder vedrører 1) aftaler indgået med FN's sekretariat og tilknyttede enheder uden forudgående positiv søjlevurdering og uden at træffe passende tilsynsforanstaltninger (denne bemærkning førte til kritiske anbefalinger fra Den Interne Revisionstjeneste til de reviderede enheder), 2) ukorrekte oplysninger om status for søjlevurderinger, som fik generaldirektoraterne og tjenestegrenene til at indgå aftaler med enheder uden forudgående positiv søjlevurdering og uden at træffe passende tilsynsforanstaltninger, 3) utilstrækkeligt virksomhedstilsyn, 4) utilstrækkelig overvågning af væsentlige systemændringer i søjlevurderede enheder og 5) utilstrækkelig inddragelse af generaldirektoraterne og tjenestegrenene i de søjlevurderinger, der foretages af tredjeparter. På grundlag af disse bemærkninger fremsatte Den Interne Revisionstjeneste i alt fire kritiske og 15 meget vigtige henstillinger til de fem berørte generaldirektorater. Nærmere oplysninger herom findes i bilaget til denne beretning.

Samtidig gav de to andre revisioner af 1) indirekte forvaltning med bemyndigede enheder i Generaldirektoratet for Internationale Partnerskaber og Generaldirektoratet for Naboskabspolitik og Udvidelsesforhandlinger og 2) tilsynet med gennemførelsen af programmet for 2014-2020 for den europæiske geostationære navigationsoverlaytjeneste i Generaldirektoratet for Forsvarsindustri og Rummet et generelt positivt billede af de reviderede processer. Ved disse revisioner blev der ikke konstateret nogen kritiske eller meget vigtige aspekter.

4.1.4.Kontrolstrategier for udvalgte generaldirektorater og tjenestegrene

Generaldirektoraterne og tjenestegrenene skal sikre lovligheden, den formelle rigtighed og en forsvarlig økonomisk forvaltning af de programmer og projekter, der finansieres over EU-budgettet. De ved delegation bemyndigede anvisningsberettigede udformer en kontrolstrategi. Denne strategi omfatter forudgående og efterfølgende kontrol, der udgør de centrale byggesten, der støtter den årlige revisionserklæring. I 2020 gennemførte Den Interne Revisionstjeneste forskellige revisioner på dette område. De omfattede:

1) en revision af udformningen og gennemførelsen af kontrolstrategien for Forvaltningsorganet for Forbrugere, Sundhed, Landbrug og Fødevarer, 2) en revision af effektiviteten af udformningen og gennemførelsen af strategien for efterfølgende kontrol af Connecting Europe-faciliteten i Forvaltningsorganet for Innovation og Netværk, 3) en revision af strategien for efterfølgende revision af Horisont 2020 i Generaldirektoratet for Forskning og Innovation og 4) en revision af efterfølgende kontroller i Forvaltningsorganet for Undervisning, Audiovisuelle Medier og Kultur. Revisionerne for 2020 tegner generelt et positivt billede, selv om to af de fire revisioner afslørede følgende svagheder.

Det fælles gennemførelsescenter er administrativt en del af Generaldirektoratet for Forskning og Innovation og udfører revisionsydelser for de forskellige Horisont 2020-gennemførelsesorganer ved hjælp af finansielle (efterfølgende) revisioner, der udføres enten af dets egne revisorer eller af eksterne revisionsfirmaer for at kontrollere støtteberettigelsen af de omkostninger, som modtagerne har anmeldt. Den Interne Revisionstjeneste konstaterede en svaghed i udformningen af strategien for efterfølgende revision af Horisont 2020 og fremsatte to meget vigtige anbefalinger.

Selv om det i Forvaltningsorganet for Innovation og Netværk blev konstateret, at strategien for efterfølgende kontrol generelt var tilstrækkeligt udformet og effektivt gennemført, vedrørte en svaghed vurderingen af ændringer af indkøbskontrakter under efterfølgende revisioner og dokumentationen af det arbejde, der blev udført af revisorerne på stedet.