[pic] | KOMMISSION DER EUROPÄISCHEN GEMEINSCHAFTEN |

Brüssel, den 5.8.2009

KOM(2009) 419 endgültig

BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND AN DEN RAT

Jahresbericht an die Entlastungsbehörde über die im Jahr 2008 durchgeführten internen Prüfungen (Artikel 86 Absatz 4 der Haushaltsordnung) {SEC(2009) 1102}

INHALTSVERZEICHNIS

1. Einführung 3

2. Arbeitsumfeld und Prüfungsplan 3

2.1. Arbeitsumfeld 3

2.2. Entwicklungen beim internen Audit 4

2.3. Umsetzung des IAS-Prüfungsplans 4

2.4. Akzeptanz der Empfehlungen und Standpunkte der geprüften Stellen und der Beteiligten 7

3. Wichtigste Feststellungen und Empfehlungen 8

4. Schlussfolgerungen 13

1. EINFÜHRUNG

Mit dem vorliegenden Bericht wird die Entlastungsbehörde wie in Artikel 86 Absatz 4 der Haushaltsordnung vorgeschrieben über die Tätigkeit des Internen Auditdienstes der Kommission (Internal Audit Service- IAS) unterrichtet. Er stützt sich auf den Prüfungsbericht des IAS nach Artikel 86 Absatz 3 der Haushaltsordnung, in dem die wichtigsten Prüfungsfeststellungen genannt und – auf der Grundlage von berufsspezifischen Standards – die wesentlichen Risikofaktoren, verschiedene Kontrollaspekte und Corporate-Governance-Fragen aufgezeigt werden.

Der vorliegende Bericht basiert auf den im Jahr 2008 abgeschlossenen IAS-Berichten[1]. Er gibt Aufschluss über die Prüfungs- und Beratungstätigkeit im Zusammenhang mit den Generaldirektionen, Dienststellen und Exekutivagenturen der Kommission, nicht aber über die IAS-Tätigkeit in Bezug auf andere Agenturen oder Einrichtungen.

Die Antworten der Kommission auf die Feststellungen und Schlussfolgerungen des Internen Prüfers sind dem Synthesebericht über die jährlichen Tätigkeitsberichte der Generaldirektionen zu entnehmen. In dem Synthesebericht, der gleichzeitig mit dem vorliegenden Bericht verabschiedet wird, nimmt die Kommission Stellung zu den von dem Internen Prüfer, dem Europäischen Rechnungshof und der Entlastungsbehörde angesprochenen horizontalen Themen sowie zu den vom Auditbegleitausschuss und vom Generaldirektor der GD Haushalt in seinem Übersichtsbericht festgehaltenen Problemen.

2. ARBEITSUMFELD UND PRÜFUNGSPLAN

2.1. Arbeitsumfeld

Die überarbeiteten Internen Kontrollstandards sind seit Anfang 2008 in Kraft. Die Generaldirektionen wurden aufgefordert, Standards auszuwählen, denen sie Priorität einräumen würden, um sie auf ihre Wirksamkeit zu prüfen. Um die Generaldirektoren bei dieser Aufgabe zu unterstützen hat die GD Haushalt auf Wunsch mehrerer Generaldirektionen Leitlinien für die Bewertung der Wirksamkeit interner Kontrollsysteme erarbeitet.

Die GD Haushalt hat den derzeitigen und seit drei Jahren und zwei Monaten geltenden Rahmen für das Risikomanagement der Kommission überprüft.

Die Weisungen für die Erstellung der jährlichen Tätigkeitsberichte wurden vom Generalsekretariat und der GD Haushalt überarbeitet, insbesondere im Hinblick auf das Funktionieren und die wirksame Umsetzung der internen Kontrollstandards und die Berichterstattung über Reputationsrisiken.

Im März 2008 hat die Kommission eine Reihe von Maßnahmen im Zusammenhang mit ethischen Fragen beschlossen, u. a. eine umfassende Debatte in allen Generaldirektionen über den Entwurf des Grundsatzkatalogs zur Berufsethik und die Ernennung eines Ethik-Korrespondenten in jeder GD.

Der IAS wurde vom Kollegium und vom Auditbegleitausschuss weiterhin voll unterstützt und konnte somit bei seiner Arbeit Unabhängigkeit und Objektivität wahren.

2.2. Entwicklungen beim internen Audit

Im Juli 2008 wurde die externe Qualitätsbewertung des IAS abgeschlossen. Aus der Bewertung ging hervor, dass die Prüfungstätigkeit des IAS innerhalb der Kommission generell den vom Institute of Internal Auditors (IIA) aufgestellten Normen sowie dem Ethikkodex genügt. Im Anschluss wurden Folgemaßnahmen ergriffen – u. a. wurde der allgemeine Prüfungsrahmen („audit universe“) genauer definiert, eine quantitative Bestimmung des Prüfungsumfangs vorgenommen, die Planung und Risikobewertung mit Blick auf ein einheitliches Prüfungskonzept intensiviert. Schließlich wurde eine Nutzergruppe gebildet, die das Berichtsformat für die internen Prüfungen überarbeitet hat.

Um Ressourcen für zusätzliche Prüfungen einsetzen zu können und den Prüfungsumfang zu erweitern, wird nun außerdem eine neue Follow-up-Strategie verfolgt. Die Strategie ist stärker risikobasiert ausgerichtet und zielt ausschließlich auf Hochrisikobereiche und auf die Umsetzung der als „kritisch“ oder „sehr wichtig“ eingestuften Empfehlungen ab.

Im Rahmen der Zusammenarbeit zwischen IAS, Auditnet und der GD ADMIN wurde ein umfassendes Schulungsprogramm für interne Prüfer konzipiert. Alle internen Prüfer der Kommission können im Rahmen dieses Programms über einen Zeitraum von zwei oder drei Jahren die nach den IIA-Standards für die berufliche Praxis der internen Revision erforderlichen Kompetenzen erwerben und sich auf diese Weise gut auf die vom IIA organisierten Zertifizierungsprüfungen vorbereiten.

2.3. Umsetzung des IAS-Prüfungsplans

Der in enger Zusammenarbeit mit den Internen Auditstellen erstellte strategische Prüfungsplan des IAS für 2007-2009 wurde aktualisiert.

Das Arbeitsprogramm 2008 wurde zu 89 % durchgeführt, die darin vorgesehenen Aufträge der Kategorie C1, die gemäß dem vom Auditbegleitausschuss gebilligten Prüfungsplan bis Ende 2008 zu erfüllen waren, wurden zu 100 % erfüllt: 2008 wurden 93 Berichte (36 Auditberichte, 51 Follow-up-Berichte, zwei Überprüfungen, ein Beratungsbericht und drei Prüfungsmitteilungen) erstellt[2]. Die Zusammenfassungen dieser Berichte sowie Angaben zur Akzeptanz und ggf. Umsetzung der Empfehlungen finden sich im Anhang.

Liste der fertig gestellten IAS-Berichte |

GD | Auditauftrag | Abschlussbericht (2008, sofern nichts anderes angegeben ist) |

Administrative und sonstige unterstützende Systeme |

ESTAT | Follow-up zum lokalen IT-Management* | 26.2 |

EPSO | Begleitete Selbstbewertung eines Vorschlags für die Organisationsstruktur | 9.4 |

ECFIN | Umsetzung ausgewählter interner Kontrollstandards in der GD ECFIN* | 11.4 |

OP | Beschaffung* | 7.5 |

OIL | Evaluierung ausgewählter interner Kontrollstandards | 19.5 |

ECFIN | Follow-up zum lokalen IT-Management in der GD ECFIN* | 27.6 |

PMO | Dienstreisen | 11.7 |

BUDG, LS, AIDCO, EAC, INFSO, EACEA | Einziehungen | 7.10 |

DIGIT | Datennetzwerk-Infrastruktur und -Dienste | 17.10 |

SCIC | Follow-up zu Finanzmanagement und Beschaffung | 3.12 |

ADMIN | Überwachung der Sicherheitsmaßnahmen von ADMIN-DS | 11.12 |

LS | Lokale IT-Systeme | 11.12 |

ADMIN, OIB, INFSO, RTD, SG, TRADE | Ethik in der Kommission | 12.12 |

DGT | Follow-up zur Nachfragesteuerung | 17.12 |

BUDG | Prüfungsmitteilung zum Thema Ethik in der Kommission | 19.12 |

SG, BUDG, ADMIN, DIGIT | Prüfungsmitteilung zur IT-Beschaffung und Erbringung von Dienstleistungen in der Kommission | 19.12 |

PMO | Follow-up zur Ordnungsmäßigkeit des Finanzmanagements und der Finanzkreisläufe | 22.12 |

ADMIN, AGRI, AIDCO, BUDG, COMM, COMP, DEV, EAC, ECFIN, ECHO, ELARG, EMPL, ENV, ESTAT, INFSO, JLS, JRC, LS, MARE, MARKT, OLAF, OPOCE, REGIO, RELEX, RTD, SANCO, SG, TAXUD, TRADE | Follow-up zur IAS-Validierung der Selbstbewertung der Internen Auditstellen | versch. Daten |

OLAF | Informationssystem für die Betrugsbekämpfung (AFIS) | 21.1.2009 |

OIB | Follow-up zur Evaluierung ausgewählter interner Kontrollstandards | 22.1.2009 |

OIB | Follow-up zur Abwicklung von Beschaffungsverträgen | 23.1.2009 |

Interne Politikbereiche |

EAHC | Exekutivagentur für Gesundheit und Verbraucher | 24.1 |

INFSO | Verwaltung von forschungsspezifischen Informationssystemen | 31.3 |

SANCO | Follow-up zu Wirksamkeit und Effizienz des SPP/ABM-Zyklus | 1.4 |

TREN | Follow-up zu Wirksamkeit und Effizienz des SPP/ABM-Zyklus | 11.4 |

EAWI | Follow-up zur EAWI | 18.4 |

RTD | Verwaltung von forschungsspezifischen Informationssystemen | 22.4 |

EAC | Zweites Follow-up zum eingehenden Audit | 25.4 |

RTD, INFSO, TREN, ENTR, DIGIT | Prüfungsmitteilung über IT-Governance im Rahmen des RP7 unter Beteiligung mehrerer Generaldirektionen | 26.5 |

COMP | Follow-up zu Wirksamkeit und Effizienz des SPP/ABM-Zyklus und zum maßnahmenbezogenen Management | 29.5 |

MARKT | Follow-up zum lokalen IT-Managementprozess* | 17.6 |

ENV | CITL-Management in der GD ENV* | 10.7 |

JLS | Follow-up zum IT-Management | 14.7 |

JLS | Finanzhilfen des Europäischen Flüchtlingsfonds im Rahmen der Gemeinsamen Mittelverwaltung | 4.11 |

COMP | Einziehung von Geldbußen | 13.11 |

JLS | IT-Beschaffung | 17.11 |

INFSO | Follow-up zu Ex-post-Kontrollen (2006) | 8.12 |

EACEA | Verwaltung und Vergabe von Finanzhilfen und Aufträgen | 11.12 |

RTD | Follow-up zu Ex-post-Kontrollen (2006) sowie zu Finanzkreisläufen und Finanzmanagement (2007) | 11.12 |

TREN-TEN-T | Audit der Exekutivagentur TREN-TEN-T | 16.12 |

SANCO | Follow-up zu großen IT-Systemen* | 21.1.2009 |

SANCO | Verwaltung der Finanzhilfen für Lebensmittelsicherheit, Tiergesundheit, Tierschutz und Pflanzenschutz | 30.1.2009 |

Strukturmaßnahmen |

REGIO | Überprüfung von Finanzkorrekturen und Einziehungen bei den Strukturfonds | 14.11 |

EMPL | Überprüfung von Finanzkorrekturen und Einziehungen bei den Strukturfonds | 14.11 |

REGIO | Internes Kontrollsystem für die Koordinierung des neuen Programmplanungszeitraums der Strukturfonds – Phase 1 | 19.11 |

EMPL | Internes Kontrollsystem für die Koordinierung des neuen Programmplanungszeitraums der Strukturfonds – Phase 1 | 19.11 |

REGIO | Follow-up zu Finanzkorrekturen beim Kohäsionsfonds (2006) | 12.12 |

Externe Politikbereiche |

AIDCO | Zweites Follow-up zum eingehenden Audit | 20.6 |

AIDCO | Abläufe im Finanzmanagement der Direktion C in Bezug auf ihre Delegationen, deren Verwaltungsaufgaben übertragen wurden** | 30.6 |

AIDCO | Finanzmanagement der regionalen Projekte | 18.7 |

ELARG | Follow-up zu Ex-post-Kontrolltätigkeiten | 18.7 |

ELARG | Bewertung der Bereitschaft/ Phasing-in der Delegationen in den Balkanländern | 17.12 |

AIDCO | Finanzmanagement der wichtigsten Programme der Direktion B | 22.12 |

AIDCO, ECHO | Follow-up zur Umsetzung des FAFA | 22.1.2009 |

RELEX | Follow-up zu Ex-post-Kontrolltätigkeiten | 23.1.2009 |

*Gemeinsames Audit/Follow-up mit der Internen Auditstelle der betreffenden GD.

** das Audit wurde von der Internen Auditstelle der GD AIDCO in Zusammenarbeit mit dem IAS durchgeführt.

2.4. Akzeptanz der Empfehlungen und Standpunkte der geprüften Stellen und der Beteiligten

2008 wurden 99,4 % der im Rahmen von Audits ausgesprochenen Empfehlungen von den geprüften Stellen angenommen.

Audits in der Kommission und den Exekutivagenturen |

Empfehlungen | akzeptiert | abgelehnt | % | Ins-gesamt |

kritisch | 0 | 0 | 0 | 0 |

sehr wichtig | 150 | 2 | 46 | 152 |

wichtig | 160 | 0 | 49 | 160 |

wünschenswert | 15 | 0 | 5 | 15 |

% | 99.4 | 0.6 |

Insgesamt | 325 | 2 | 327 |

In ihren Rückmeldungen bewerteten die geprüften Stellen Umfang und Durchführung der Audits auf einer Skala von 1 (höchster Wert) bis 4 (niedrigster Wert) mit durchschnittlich 1,74 (2007: 1,86, 2006: 1,95). Bei einer Anfang 2009 durchgeführten Befragung von Beteiligten waren 90,8 % der Ansicht, der IAS verfolge eine klare Auditstrategie. 83,1 % der Befragten gaben an, die Prüfungen würden ehrlich, objektiv und fair durchgeführt und 61,5 % antworteten, die IAS-Empfehlungen seien nützlich. 86,2 % der Befragten erklärten, die Arbeit des IAS leiste einen Beitrag zur Qualität der Verwaltungstätigkeit und der Kontrollsysteme in der Kommission.

3. WICHTIGSTE FESTSTELLUNGEN UND EMPFEHLUNGEN

Ethik

Eine in zwei horizontalen und vier operativen Generaldirektionen durchgeführte Prüfung des Ethik-Rahmens der Kommission ergab, dass dieser Rahmen recht solide und umfassend ist und die überprüften Generaldirektionen verschiedene zusätzliche Maßnahmen zur Sensibilisierung für den Ethik-Rahmen oder zu dessen Verbesserung ergreifen bzw. bereits ergriffen haben.

Die Prüfung ergab, dass die bestehenden Vorschriften klarer zu fassen sind, einschließlich der Vorschriften über die Annahme von Geschenken und Bewirtungen und die Berichterstattung über Interessenkonflikte. Hierbei sollen Leitlinien zentraler Generaldirektionen und eine intensivere Überwachung der Umsetzung flankierend wirken.

Alle Bediensteten sind sich zunehmend darüber im Klaren, welches ihre Pflichten während und nach ihrer Beschäftigung bei der Kommission sind, und die Mitteilungen an das Personal zu konkreten Anwendungsmaßnahmen werden ständig verbessert.

Beschaffung und Finanzhilfen

Die Prüfungen der IT-Beschaffung und Erbringung von Dienstleistungen wurden mit einer Prüfung in einer operativen GD und einer Prüfungsmitteilung zur IT-Beschaffung und zur Erbringung von Dienstleistungen abgeschlossen.

Die Verbesserungen in diesem Bereich konzentrierten sich auf folgende Aspekte: Stärkung der zentralen Verwaltung im Hinblick auf Unterstützung und Beratung; engere Zusammenarbeit auf Kommissionsebene, um sicherzustellen, dass die Prioritäten optimal festgelegt und die wirtschaftlich günstigsten Angebote berücksichtigt werden; verstärkte Einbindung der Führungskräfte der Generaldirektionen in Konzeption und Umsetzung von Beschaffungsstrategien.

Neben den Berichten zur IT-Beschaffung fanden zwei Follow-up-Audits und drei neue Audits zu den Beschaffungsabläufen und den Abläufen bei der Verwaltung von Finanzhilfen statt. Eines der festgestellten Probleme ist die Konzentration auf eine begrenzte Anzahl von Auftragnehmern (wie bei der IT-Beschaffung); dieses Problem könnte durch eine formale Auslagerungsstrategie entschärft werden. Außerdem gibt es weder ein konsolidiertes Beschaffungshandbuch noch ein vollständiges Management-Informationssystem oder eine umfassende integrierte Strategie zur Überprüfung von Finanzmitteln. Ferner gilt es, die Auftragsbedingungen und technischen Spezifikationen zu verbessern, die Berichterstattung über Verträge und deren Überwachung adäquat zu gestalten und die Arbeitsbelastung besser zu koordinieren.

Exekutivagenturen

Mit der steigenden Anzahl der Exekutivagenturen wächst auch die Bedeutung der die Agenturen betreffenden Audit- und Kontrollfragen.

2008 wurden vier Audits von Exekutivagenturen abgeschlossen, im Rahmen derer das interne Kontrollsystem, die Verwaltung der Finanzhilfen, die Vergabe von Aufträgen und Finanzhilfen, der Verwaltungshaushalt und die Einziehungen untersucht wurden[3]. Die Ergebnisse fielen insgesamt recht positiv aus. Die Feststellungen wurden jedoch stark dadurch beeinflusst, dass infolge der verlängerten Anlaufphase bei den Agenturen entweder gegen die Finanzregelung für die Exekutivagenturen (z. B. gegen das „Vier-Augen-Prinzip“) oder die Rechtsgrundlage (Zusammensetzung des Lenkungsausschusses, Veröffentlichung des Haushalts, Erfüllung internationaler Rechnungslegungsvorschriften) verstoßen wurde und dass Sachanlagen von der zuständigen GD nicht an ihre Exekutivagentur transferiert wurden; außerdem müssen die Abläufe in der zuständigen GD gestrafft und harmonisiert werden.

IT-Fragen

Die umfangreiche Prüftätigkeit im IT-Bereich (außer Beschaffung) wurde mit einer Prüfungsmitteilung, sechs Auditberichten und fünf Follow-up-Berichten fortgesetzt.

Im Bereich lokales IT-Management wurden fünf Follow-up-Berichte abgeschlossen. Die entsprechenden Aktionspläne wurden in drei Fällen fast vollständig umgesetzt. In einem Fall ergaben sich jedoch bei knapp der Hälfte der Maßnahmen des Aktionsplans Verzögerungen; in einem anderen Fall war ein Drittel der Empfehlungen noch nicht umgesetzt.

Das Thema Verwaltung von forschungsspezifischen Informationssystemen wurde in zwei neuen Berichten behandelt. Aus einem der Berichte ging hervor, dass für die überprüften Abläufe keine Zuverlässigkeitsbestätigung ausgestellt werden kann und dies vor allem auf die fehlende Harmonisierung der Abläufe zurückzuführen ist. Zu den allgemeinen Risiken zählten Verzögerungen bei Projekten, die Möglichkeit eines Systemausfalls, die Inoperabilität verschiedener IT-Module sowie Sicherheitsaspekte, z. B. der unzureichende Schutz von IT-Anlagen und die fehlende Kontrolle für den Schutz der logischen und physischen Sicherheit von IT-Anlagen. Aus den beiden Audits ergaben sich außerdem systembezogene Fragen, die nun von den zuständigen Generaldirektionen berücksichtigt werden. Ziel ist es, die Rolle des gemeinsamen Lenkungsausschusses für IT-Projekte zu stärken, um alle gemeinsamen IT-Systeme und -Projekte zu überwachen, und eine IT-Systemarchitektur zu entwickeln, mit der die Kohärenz der Abläufe und die IT-Interoperabilität sichergestellt werden können.

Das zentrale Datennetzwerk gehört zu den sieben IT-Diensten, die hinsichtlich der Betriebskontinuität in Notfällen für die gesamte Kommission als kritisch eingestuft worden sind. Zwar konnte für den Betrieb des zentralen Datennetzwerks eine Zuverlässigkeitserklärung ausgestellt werden, doch es besteht Verbesserungsbedarf bei der Netzwerkverwaltung (verbesserte Koordinierung von Konfigurationsänderungen im Netzwerk und Bereitstellung einer vollständigen Liste der verfügbaren Dienste für Nutzer) und bei den Maßnahmen für die logische Sicherheit (u. a. Festlegung zentraler Sicherheitsstandards und Leitlinien, um Systemsicherheit und Betriebskontinuität sicherzustellen). Im Rahmen des Audits wurden Governance-Probleme im Zusammenhang mit dem Sicherheitsrahmen für Informationssysteme festgestellt, die zu erheblichen Verzögerungen bei der Erarbeitung der Durchführungsbestimmungen und der tatsächlichen Durchführung bestimmter Sicherheitsmaßnahmen führten. Um diese Probleme anzugehen, wurde im Rahmen des Audits empfohlen, die Zuständigkeiten von ADMIN/DS und DIGIT im Bereich IT-Sicherheit zu klären und bei der Entwicklung von IT-Sicherheitsstandards eine enge und strukturierte Zusammenarbeit zwischen ADMIN/DS und DIGIT unter Hinzuziehung vorhandener Expertise zu organisieren.

Einziehungen und Finanzkorrekturen

Ein Audit in zwei horizontalen und vier operativen Generaldirektionen betraf die Verwaltung von Beträgen, die im Rahmen der zentralen Mittelverwendung zu Unrecht gezahlt wurden[4]. Für jede Phase des Einziehungsvorgangs wurden Empfehlungen abgegeben: bessere Überwachungsinstrumente in mehreren operativen Generaldirektionen, um detailliertere und aktuellere Informationen liefern und unrechtmäßig gezahlte Beträge ermitteln zu können; systematischere Erstellung der Einnahmenvorausschätzungen und Follow-up, um zu gewährleisten, dass alle entsprechenden Einziehungsanordnungen ausgestellt werden; genaue Überwachung der Fristen für die Ausstellung von Vorabinformationsschreiben und Einziehungsanordnungen; geringere Verzögerungen bei Einziehungsvorgängen durch systematischere Überwachung. Bei einer in diesem Zusammenhang überprüften Exekutivagentur wurde folgendes Problem festgestellt: Die Exekutivagenturen besitzen eine eigene Rechtspersönlichkeit und verfügen somit über eigene Rechtsabteilungen; die Kommission ist nicht zuständig, wenn diese Agenturen Einziehungsanordnungen ausstellen oder entsprechende Beschlüsse von einem Auftragnehmer angefochten werden. In einigen Fällen besteht daher das Risiko, dass unrechtmäßig gezahlte Beträge nicht eingezogen werden können. Angesichts des Fehlens rechtlicher Einschränkungen sollte das Risiko durch den Abschluss einer Dienstleistungsvereinbarung zwischen den Exekutivagenturen und dem Juristischen Dienst der Kommission verringert werden, in der festgelegt ist, unter welchen Voraussetzungen der Juristische Dienst den Agenturen bei Einziehungsvorgängen rechtliche Unterstützung leistet.

Bei zwei Überprüfungen wurden Finanzkorrekturen und Einziehungen bei den Strukturfonds untersucht. Die für die Strukturfonds zuständigen Generaldirektionen haben beträchtliche Anstrengungen unternommen, um die im Aktionsplan festgelegten Maßnahmen fristgerecht umzusetzen. Der IAS hat anerkannt, wie komplex die Vorgänge im Zusammenhang mit Finanzkorrekturen sowohl auf Kommissionsebene als auch in Bezug auf die Berichterstattung der Mitgliedstaaten sind. In den Berichten wurden einige Punkte genannt, bei denen Klärungsbedarf besteht. Diese betreffen die Notwendigkeit einer Harmonisierung des Zeitpunkts, zu dem die Einnahmenvorausschätzungen verbucht werden, und das Verfahren für die vierteljährliche Berichterstattung über Finanzkorrekturen an die GD Haushalt. Die Überwachungsfähigkeit der Kommission würde durch Übersichten über alle potenziellen Finanzkorrekturen und über den Zeitpunkt für Finanzkorrekturen maßgeblicher Audits erheblich gesteigert.

Die Prüfung der Einziehungen von Geldbußen hat keine wesentlichen Schwachpunkte hinsichtlich der Wirksamkeit des Einziehungsvorgangs erkennen lassen.

PMO (Finanzkreisläufe und Finanzmanagement)

Aus einem Follow-up-Audit zu den Finanzkreisläufen und dem Finanzmanagement des PMO ging hervor, dass die Empfehlungen nicht angemessen und wirksam umgesetzt worden sind. Dies war teilweise auf die bei der Umsetzung der neuen IT-Systeme zur Verwaltung von Laufbahnen, Ansprüchen und Gehältern (SYSPER2, IRIS und NAP) entstandenen Probleme zurückzuführen. Bei der Sicherung der Qualität (Richtigkeit und Vollständigkeit) persönlicher Daten, der Interoperabilität der betreffenden Systeme und der Speicherung aller notwendigen Dokumente im Zusammenhang mit Personen in einem einzigen globalen Informationssystem besteht immer noch Handlungsbedarf. Andere noch nicht berücksichtigte Empfehlungen betreffen die notwendige Straffung der Ablauf- und Ex-Post-Kontrollen, die Verwaltung von Personalakten und die Aktualisierung der Tabelle der nachgeordneten Verantwortlichkeiten sowie Dokumentierungsabläufe, Checklisten und die Aktualisierung von Tätigkeitsbeschreibungen.

Im Hinblick auf die Verwaltung von Dienstreisekostenerstattungen wurde empfohlen, das System der Ex-ante-Kontrollen zu verbessern, um dadurch die Fehlerquote zu senken, und die Schulung von Anweisungsbefugten zu verbessern, um fehlerhafte oder mehrfache Erstattungen zu vermeiden. Die Verwaltung des PMO hat einen Aktionsplan aufgestellt, um alle genannten Themen anzugehen.

Sicherheit

Nach einem IAS-Audit der von der Direktion Sicherheit der GD ADMIN koordinierten Sicherheitsüberwachung innerhalb der Kommission wurden verschiedene Empfehlungen ausgesprochen. Unter anderem betrafen diese den Verbesserungsbedarf bei den rechtlichen Rahmenbedingungen und bilateralen Vereinbarungen, die Festlegung der Aufgaben und Verantwortlichkeiten der lokalen Sicherheitsbeauftragten, das Verfahren für Zugangsermächtigungen, die systematische Berichterstattung über den aktuellen Stand der Sicherheit in der Kommission insgesamt sowie die Sicherheitsregeln für den Schutz sensibler, aber nicht als Verschlusssache eingestufter Informationen. Die Ergebnisse dieses Audits werden in eine Managementprüfung des Sicherheitskonzepts der Kommission eingehen.

Externe Politikbereiche

Aus den Follow-up-Berichten über externe Politikbereiche ging hervor, dass die Kommission der Umsetzung früherer Empfehlungen in diesem Gebiet besondere Aufmerksamkeit schenken sollte[5].

Das Follow-up-Audit des Rahmenabkommens über die Zusammenarbeit im Finanz- und Verwaltungsbereich (FAFA) bestätigte, dass die Umsetzung von fünf der acht Empfehlungen dank großer Anstrengungen abgeschlossen werden konnte. Bei der Umsetzung kam es jedoch zu Verzögerungen, insbesondere bei der noch umzusetzenden Empfehlung, weitere Möglichkeiten zu vereinbaren, um die Zuverlässigkeitsbestätigung durch die UN sicherzustellen.

In den externen Politikbereichen wurden drei neue Audits[6] abgeschlossen, von denen zwei eine teilweise nicht zufriedenstellende Stellungnahme enthielten. Im Fall des Audits der Verwaltung regionaler Projekte war dies auf wichtige Bemerkungen im Zusammenhang mit dem Sekretariat der SADC (Entwicklungsgemeinschaft des südlichen Afrika) und die Situation der EG-Delegation in Botswana zurückzuführen. Darüber hinaus wurden der akute Personalmangel, die lange Anlaufphase der Projekte, der Mangel an geeigneten Verfahren im Rahmen des EEF (Europäischer Entwicklungsfonds) und der SADC, die begrenzte Integration nationaler und regionaler Komponenten und allgemein die verbesserungsbedürftigen Überwachungsmechanismen für die gemeinsame Mittelverwaltung im Zusammenhang mit regionalen AKP-Organisationen thematisiert. In der Stellungnahme zum Audit des Finanzmanagements des Lateinamerika-Programms – der die geprüfte Stelle widersprach – wurden im Zusammenhang mit der dezentralen Mittelverwaltung in den lateinamerikanischen Delegationen folgende Punkte als nicht zufriedenstellend erachtet: unzureichende Ex-ante-Bewertung der Vereinbarkeit mit der Finanzregelung und weitere Schwächen, die die Zuverlässigkeitsgewähr deutlich einschränken, die von wichtigen Kontrollelementen erwartet wird (z. B. mangelhafte Projekt- und Portfolioüberwachung, geringe Qualität der vorgeschriebenen Projekt-Audits).

Folgemaßnahmen

Trotz der neuen, stärker risikobasierten Follow-up-Strategie mussten nach wie vor zahlreiche Follow-up-Audits durchgeführt werden. Besonders hervorzuheben ist hier das Follow-up zur externen Qualitätsüberprüfung der Tätigkeiten der Internen Auditstellen im Jahr 2007. Das Ergebnis war im Allgemeinen positiv; fast alle Internen Auditstellen (26 von 29) müssen lediglich noch maximal zwei Empfehlungen abschließen oder teilweise umsetzen.

Im Rahmen der übrigen Follow-up-Audits wurden elf Fälle festgestellt, in denen mehr als eine Empfehlung noch nicht umgesetzt worden war (AIDCO, EAC, ECFIN, ELARG, OIB, PMO, RELEX, RTD und SANCO). In fünf Fällen (OIB, PMO, AIDCO/ECHO und ELARG) reichte der bei der Umsetzung erzielte Fortschritt eindeutig nicht aus, da über die Hälfte der Empfehlungen noch nicht umgesetzt war.

Zwei Mal im Jahr geht dem Auditbegleitausschuss ein detaillierterer Fortschrittsbericht zu. Aus dem letzten Bericht ging hervor, dass die Umsetzung von 29 % der Empfehlungen (zwei der drei kritischen Empfehlungen, 41 von 147 sehr wichtigen Empfehlungen) über sechs Monate überfällig war (im Vergleich zu 25% im Vorjahr: sieben von 14 kritischen Empfehlungen, 37 von 138 sehr wichtigen Empfehlungen).

4. SCHLUSSFOLGERUNGEN

Auf der Grundlage der 2008 in der Kommission durchgeführten Audits und Überprüfungen sowie der damit verbundenen Tätigkeiten lassen sich folgende Schlussfolgerungen ziehen:

Schlussfolgerung 1: Weitere Verbesserungen trotz erzielter Fortschritte notwendig

Der IAS konnte bei seinen Audits, Überprüfungen und Beratertätigkeiten weitere Verbesserungen bei den internen Kontrollsystemen der Kommission feststellen. 2007 wurden sechs kritische Empfehlungen abgegeben, im Jahr 2008 dagegen keine. Die Anzahl der nicht zufriedenstellenden oder teilweise nicht zufriedenstellenden Stellungnahmen in neuen Auditberichten sank von sechs im Jahr 2007 auf vier im Jahr 2008. Es bedarf jedoch noch weiterer Verbesserungen.

Beim Finanzmanagement beispielsweise können mehrere Aspekte weiter verbessert werden:

- In Bezug auf Vollständigkeit und Schlüssigkeit der Kommissionsstatistiken über Einziehungen und Finanzkorrekturen wurden erhebliche Fortschritte erzielt. So haben sich z.B. die DG REGIO und die GD EMPL in Zusammenarbeit mit der GD BUDG verpflichtet, eine Gesamttabelle über (bereits erfolgte oder laufende) Finanzkorrekturen zu erstellen. Dies wird den Prüfpfad von Mehrjahreskontrollen im Rahmen der geteilten Mittelverwaltung wesentlich stärken. In Bereichen zentraler Mittelverwaltung hingegen ist ein Rückstand an Einziehungsanordnungen festzustellen. Die internen Einziehungsverfahren müssen daher vereinfacht und verkürzt werden.

- Es muss erneut geprüft werden, ob es angezeigt ist, die 2- prozentige Wesentlichkeitsgrenze für Fehler sowohl auf Standardfinanztransaktionen als auch auf bestimmte hoch komplexe oder äußerst sensible Projekte anzuwenden. Das vorgeschlagene Konzept des „tolerierbaren Fehlerrisikos“ wäre – sofern Rat und Parlament es annehmen – angemessener und dürfte künftig das erreichbare Zuverlässigkeitsniveau des Finanzmanagements in bestimmten Bereichen erhöhen.

- Es wurde auf die Notwendigkeit einer soliden Kontrolle der Vergabeverfahren verwiesen, insbesondere, wenn große Teile ausgelagerter Tätigkeiten an eine begrenzte Zahl von Bietern vergeben werden und die Kommission damit Marktkonzentrationsrisiken ausgesetzt wird.

In Bezug auf die Sicherheit wurden erhebliche Fortschritte erzielt. Follow-up-Audits bestätigten ferner, dass die Schwierigkeiten, die dabei aufgetreten waren, die zuständigen Kommissionsdelegationen ordnungsgemäß für die Bearbeitung der als EU-Verschlusssachen eingestuften Informationen auszurüsten, jetzt behoben sind. Die rechtzeitige Umsetzung der Audit-Feststellungen hat auch einen Beitrag zur generellen Überprüfung der Sicherheitspolitik der Kommission geleistet, die 2008 stattgefunden hat.

Die Ethiknormen erfordern unaufhörliche Aufmerksamkeit. Deshalb wurden während des gesamten Jahres sowohl auf Ebene der Generaldirektionen als auch auf zentraler Ebene Initiativen ergriffen, um den Ethik-Rahmen der Kommission weiter zu verstärken und das Personal für ihn zu sensibilisieren. Der IAS hat bisher noch keine Stellungnahme zum Ethik-Rahmen der Kommission abgegeben, wird jedoch bis Ende 2010 einem Maßnahmenplan folgen.

Die rechtzeitige Umsetzung kritischer und sehr wichtiger Empfehlungen durch die Dienststellen der Kommission ist eine ständige Herausforderung. Mit Unterstützung des IAS trägt der Auditbegleitausschuss dafür Sorge, dass die Generaldirektionen über die Umsetzung ihrer eigenen Aktionspläne berichten. Er sendet den zuständigen Kommissionsmitgliedern Erinnerungsschreiben, die im Allgemeinen ihre Wirkung nicht verfehlen, so dass sich das Follow-up verbessert und die Neubewertung von Restrisiken erleichtert wird.

Schlussfolgerung 2: IT

Die umfassende Prüftätigkeit im Bereich IT hat gezeigt, dass eine wirksame und effiziente IT-Umgebung von zentraler Bedeutung für die erfolgreiche Umsetzung der Kommissionsstrategien ist. Größere Anstrengungen bei der Umsetzung früherer Empfehlungen, ein integrierter Systemansatz, um jederzeit einen Überblick über alle IT-Entwicklungen zu haben, und der Bedarf an umfassenden Sicherheitsmaßnahmen, um u. a. die Betriebskontinuität zu gewährleisten, gewinnen zunehmend an Bedeutung. Zu den weiteren wichtigen Erfolgsfaktoren zählt die bessere Verwaltung von Projekten und Dienstleistern.

Schlussfolgerung 3: Konsolidierte Auditkultur

Die zweite externe Qualitätsprüfung des IAS ergab, dass der Dienst den „Internationalen Standards für die berufliche Praxis der Innenrevision“ vollständig entspricht. Der IAS stellt innerhalb der Kommission eine integrierte und akzeptierte treibende Kraft für positive Veränderungen dar, die gemeinsam mit den Internen Auditstellen alle im Zusammenhang mit dem strategischen Auditplan 2007-2009 festgestellten Risiken abdeckt.

Der Schwerpunkt des IAS-Prüfungsplans liegt zwar in erster Linie auf dem Finanzmanagement, es werden jedoch auch Bereiche wie Governance (z. B. Ethik), IT, Sicherheit und Arbeitsabläufe (z. B. Umsetzung des Gemeinschaftsrechts) geprüft. Wie aus diesem Bericht ersichtlich, trägt die Auditarbeit des IAS dazu bei, die Aufmerksamkeit auf Risiken und Bereiche zu lenken, in denen sich die Risikokontrolle verbessern lässt: Daher ist es wichtig, dass der Kontrolle nichtfinanzieller Risiken kommissionsweit weiter Aufmerksamkeit geschenkt wird.

[1] Einige der im Jahr 2008 erstellten Berichte, die erst Anfang 2009 fertiggestellt wurden, sind ebenfalls in diesen Bericht eingegangen.

[2] Einige der 2008 erstellten Berichte, die erst Anfang 2009 fertiggestellt wurden, sind ebenfalls in diesen Bericht eingegangen.

[3] Siehe Abschnitt über Einziehungen.

[4] Das Audit deckte auch die Einziehung bedingt rückzahlbarer Darlehen (im Zusammenhang mit MEDIA-Projekten) ab.

[5] Im Fall des zweiten Follow-up des eingehenden Audits der GD AIDCO waren sechs von 22 Empfehlungen mehr als ein Jahr nach dem Zieldatum noch nicht umgesetzt. Im Fall des Follow-up der Ex-post-Kontrollen der GD ELARG befanden sich zehn von 15 Empfehlungen noch in der Umsetzungsphase und zwei wurden in einer neuen Empfehlung zusammengefasst.

[6] Eines davon wurde von der Internen Auditstelle der GD AIDCO in Zusammenarbeit mit dem IAS durchgeführt.