EUROPÄISCHE KOMMISSION Brüssel, den 21.9.2018 COM(2018) 661 final BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT Jahresbericht an die Entlastungsbehörde über die im Jahr 2017 durchgeführten internen Prüfungen {SWD(2018) 429 final}



Inhalt 1. Einleitung 2. Die Aufgaben des Internen Auditdienstes: Unabhängigkeit, Objektivität und Rechenschaftspflicht – Ziele und Umfang des Berichts 3. Übersicht über die Prüftätigkeit 3.1. Umsetzung des Prüfungsplans 2017 3.2. Statistische Daten zu den Empfehlungen des Internen Auditdienstes 4. Schlussfolgerungen auf der Grundlage der im Jahr 2017 durchgeführten Prüfungsarbeit 4.1. Schlussfolgerungen zu den Leistungsprüfungen 4.1.1. Leistung der Generaldirektionen der Kommission, der Dienststellen und Exekutivagenturen: Horizontale Prozesse 4.1.2. Fazit für den Bereich operative Ausgaben und Verwaltungsausgaben 4.2. Eingeschränkte Schlussfolgerungen des Internen Auditdienstes zum Stand der internen Kontrollen in den einzelnen GDs 4.3. Gesamtbewertung des Finanzmanagements der Kommission 5. Anhörung des Fachgremiums der Kommission für finanzielle Unregelmäßigkeiten 6. Abhilfemaßnahmen für etwaige Interessenkonflikte (internationale Standards) – Untersuchung der Europäischen Bürgerbeauftragten 7. Schlussfolgerungen



1.Einleitung

Mit dem vorliegenden Bericht werden das Europäische Parlament und der Rat gemäß der Haushaltsordnung über die Tätigkeit des Internen Auditdienstes (Internal Audit Service, IAS) der Kommission unterrichtet. Er stützt sich auf den Bericht, der vom Internen Prüfer der Kommission in Bezug auf die Prüfungs- und Beratungsberichte des Internen Auditdienstes aus dem Jahr 2017 über die Generaldirektionen, Dienststellen und Exekutivagenturen der Kommission erstellt wurde . Nach Maßgabe der Rechtsvorschriften enthält er eine Zusammenfassung der Anzahl und Art der durchgeführten internen Prüfungen, der ausgesprochenen Empfehlungen und der infolge dieser Empfehlungen ergriffenen Maßnahmen.



2.Die Aufgaben des Internen Auditdienstes: Unabhängigkeit, Objektivität und Rechenschaftspflicht – Ziele und Umfang des Berichts Der Interne Auditdienst hat die Aufgabe, unabhängige und objektive Prüfungs- und Beratungsleistungen für die Kommission zu erbringen, die darauf ausgerichtet sind, Mehrwert zu schaffen und die Geschäftsprozesse der Kommission zu verbessern. Der Interne Auditdienst unterstützt die Kommission bei der Erreichung ihrer Ziele, indem er mit einem systematischen und zielgerichteten Ansatz die Effektivität des Risikomanagements, der Kontroll- und der Steuerungsprozesse bewertet und Empfehlungen zu deren Verbesserung abgibt. Bei seinen Bewertungen und Empfehlungen im Hinblick auf die Verbesserung des Steuerungsprozesses trägt er dafür Sorge, dass dieser den folgenden Zielsetzungen gerecht wird: Förderung ethischer Normen und Werte in der Organisation, Sicherstellen von Leistungsmessung und Leistungssteuerung und klarer Verantwortlichkeiten in der Organisation sowie wirksamer Kommunikation von Risiko- und Kontrollinformationen an die in der Organisation zuständigen Funktionen. Er fördert damit eine Kultur des effizienten und wirksamen Managements innerhalb der Kommission und ihrer Dienststellen. Die Unabhängigkeit des Internen Auditdienstes ist in der Haushaltsordnung und in seiner von der Kommission angenommenen Charta verankert. Der Interne Auditdienst erstattet dem Auditbegleitausschuss über sämtliche von ihm durchgeführten Prüfungen Bericht. Zur Unterstützung des Kollegiums der Kommissionsmitglieder sorgt der Auditbegleitausschuss dafür, dass die Arbeit des Internen Auditdienstes und des Europäischen Rechnungshofes von den Kommissionsdienststellen angemessen berücksichtigt wird und Gegenstand angemessener Follow-up-Maßnahmen ist. Der Interne Auditdienst übt seine Tätigkeit auf der Grundlage der Haushaltsordnung und der Internationalen Standards für die berufliche Praxis der Internen Revision sowie des Ethikkodexes des Institute of Internal Auditors aus. Die Systeme, die die Mitgliedstaaten zur Kontrolle des Umgangs mit EU-Mitteln eingerichtet haben, werden vom Internen Auditdienst nicht geprüft. Solche Prüfungen, die bis zu den einzelnen Empfängern reichen, werden von internen Prüfern der Mitgliedstaaten, nationalen Prüfbehörden, anderen Generaldirektionen (GD) der Kommission und dem Europäischen Rechnungshof durchgeführt. Dafür prüft der Interne Auditdienst Maßnahmen, mit denen die Dienststellen der Kommission Einrichtungen in den Mitgliedstaaten und andere für die Auszahlung von EU-Mitteln zuständige Einrichtungen wie die Vereinten Nationen überwachen und prüfen. Nach Maßgabe der Haushaltsordnung kann der Interne Auditdienst diese Aufgaben vor Ort, auch in den Mitgliedstaaten, wahrnehmen.



3.Übersicht über die Prüftätigkeit 3.1.Umsetzung des Prüfungsplans 2017 Bis zum Stichtag am 31. Januar 2018 hatte der Interne Auditdienst 98 % seiner für 2017 geplanten Prüfungsaufträge in der Kommission, den Dienststellen und Exekutivagenturen durchgeführt. 148 Aufträge (einschließlich Prüfungen, Folgemaßnahmen, Überprüfungen und Beratungsaufträge) wurden abgeschlossen und sind in der nachfolgenden Tabelle aufgeschlüsselt dargestellt. 2017 2016 2015 Aufträge Berichte Aufträge Berichte Aufträge Berichte Prüfung 54 58 52 60 38 52 Folgemaßnahmen 90 - 95 - 96 - (Eingeschränkte) Überprüfungen 2 2 6 6 2 2 Prüfungsmitteilungen 0 0 0 1 1 1 JSIS-Risikobewertungen 0 0 0 0 1 1 Beratung 2 2 1 1 1 1 Insgesamt 148 62 154 68 139 57 Der ursprüngliche Plan für 2017 enthielt 66 Prüfungsaufträge (einschließlich Prüfungen, Überprüfungen und Beratungsaufträge, jedoch ohne Folgemaßnahmen), die bis zum Stichtag 31. Januar 2018 fertiggestellt sein sollten. Darüber hinaus enthielt der Plan 38 Aufträge, die vor diesem Stichtag beginnen und 2018 abgeschlossen werden sollten. Der Plan für 2017 wurde Mitte des Jahres aktualisiert . Sowohl der ursprüngliche als auch der aktualisierte Plan wurde vom Auditbegleitausschuss geprüft. Im Einklang mit seiner Charta und den Internationalen Standards sowie in der Absicht, eine effiziente und effektive Umsetzung des Prüfungsplans zu gewährleisten, plant der Interne Auditdienst seine Prüftätigkeit auf der Basis von Risikobewertungen und Kapazitätsanalysen. Die Umsetzung wird regelmäßig kontrolliert, und Anpassungen erfolgen nach Bedarf. 3.2.Statistische Daten zu den Empfehlungen des Internen Auditdienstes Die Anzahl der Empfehlungen des Internen Auditdienstes (einschließlich ihrer Annahmequote) im Jahr 2017 ist folgender Tabelle zu entnehmen: Neue Empfehlungen Vollständig angenommen Teilweise angenommen Nicht angenommen Priorität Anzahl Anzahl % Anzahl % Anzahl % Kritisch 1 1 100 0 0 0 0 Sehr wichtig 71 71 100 0 0 0 0 Wichtig 126 124 98 2 2 0 0 Wünschenswert 1 1 100 0 0 0 0 Insgesamt 199 197 99 2 1 0 0 Die geprüften Stellen haben für alle vollständig oder teilweise angenommenen Empfehlungen Maßnahmenpläne erarbeitet, die dem Internen Auditdienst übermittelt und von diesem als zufriedenstellend bewertet wurden. In seinem im Mai 2018 der Kommission übermittelten jährlichen Internen Auditbericht für das Jahr 2017 berichtete der Interne Prüfer, dass zu dem Zeitpunkt (basierend auf dem Stichtag 31. Januar 2018) noch zwei Maßnahmenpläne ausstanden . Seit Vorlage dieses Berichts wurden beide Maßnahmenpläne dem Internen Auditdienst übermittelt und dort als zufriedenstellend bewertet; acht Empfehlungen (alle in Zusammenhang mit der Prüfung der Governance-/Aufsichtsregelungen der Kommission in Bezug auf das Risikomanagement, die Finanzberichterstattung und die Ex-post-Überprüfung/Auditfunktion) wurden von den geprüften Stellen vollständig angenommen.

Die Umsetzung der angenommenen Empfehlungen aus dem Zeitraum 2013-2017 gestaltete sich nach Beurteilung der geprüften Stellen zum 31. Januar 2018 wie folgt: Abgeschlossen In Bearbeitung (nach der Anzahl der überfälligen Monate im Verhältnis zum Stichtag 31. Januar 2018) Jahr Priorität Ins-ge-samt An-zahl % An-zahl % Ohne Verzö-gerung 0 - 6 6 - 12 12+ 2013 Kritisch 0 0 0 % 0 0 % 0 0 0 0 Sehr wichtig 45 44 98 % 1 2 % 0 0 0 1 Wichtig 75 72 96 % 3 4 % 0 0 0 3 Wünschenswert 7 7 100 % 0 0 % 0 0 0 0 2013 insgesamt 127 123 97 % 4 3 % 0 0 0 4 2014 Kritisch 0 0 0 % 0 0 % 0 0 0 0 Sehr wichtig 36 36 100 % 0 0 % 0 0 0 0 Wichtig 78 70 90 % 8 10 % 1 0 0 7 Wünschenswert 11 11 100 % 0 0 % 0 0 0 0 2014 insgesamt 125 117 94 % 8 6 % 1 0 0 7 Von IAC über-nom-mene Em-pfeh-lungen Kritisch 0 0 0 % 0 0 % 0 0 0 0 Sehr wichtig 253 252 100 % 1 0 % 0 0 0 1 Wichtig 591 578 98 % 13 2 % 0 0 0 13 Wünschenswert 63 63 100 % 0 0 % 0 0 0 0 IAC insgesamt 907 893 98 % 14 2 % 0 0 0 14 2015 Kritisch 1 1 100 % 0 0 % 0 0 0 0 Sehr wichtig 65 54 83 % 11 17 % 3 2 3 3 Wichtig 131 116 89 % 15 11 % 2 0 2 11 Wünschenswert 20 20 100 % 0 0 % 0 0 0 0 2015 insgesamt 217 191 88 % 26 12 % 5 2 5 14 2016 Kritisch 0 0 0 % 0 0 % 0 0 0 0 Sehr wichtig 115 65 57 % 50 43 % 32 15 3 0 Wichtig 142 76 54 % 66 46 % 21 25 16 4 Wünschenswert 3 3 100 % 0 0 % 0 0 0 0 2016 insgesamt 260 144 55 % 116 45 % 53 40 19 4 2017 Kritisch 1 0 0 % 1 100 % 1 0 0 0 Sehr wichtig 71 1 1 % 70 99 % 63 6 1 0 Wichtig 126 7 6 % 119 94 % 114 5 0 0 Wünschenswert 1 0 0 % 1 100 % 1 0 0 0 2017 insgesamt 199 8 4 % 191 96 % 179 11 1 0 INSGESAMT 2013-2017 1835 1476 80 % 359 20 % 238 53 25 43 davon kritisch oder sehr wichtig 587 453 77 % 134 23 % 99 23 7 5 Insgesamt wurden 1476 bzw. 80 % aller angenommenen Empfehlungen aus dem Zeitraum 2013-2017 von den geprüften Stellen als „umgesetzt“ bewertet, 359 Empfehlungen (bzw. 20 %) befinden sich noch in Bearbeitung. Von den 359 noch in Bearbeitung befindlichen Empfehlungen wird eine als „kritisch“ bewertet , 133 (bzw. 23 % aller angenommenen als „kritisch“ und „sehr wichtig“ bewerteten Empfehlungen) werden als „sehr wichtig“ bewertet. Von den 359 in Bearbeitung befindlichen Empfehlungen waren 121 überfällig, dies sind 6,6 % aller angenommenen Empfehlungen; 12 als „sehr wichtig“ eingestufte Empfehlungen waren bereits lange überfällig (mehr als sechs Monate über den ursprünglichen Fälligkeitstermin hinaus). Solche Fälle machen lediglich 0,7 % aller angenommenen Empfehlungen des Zeitraums 2013-2017 aus. Die Gesamtzahl der Empfehlungen im Zeitraum 2013-2017, für die eine Follow-up-Prüfung durchgeführt wurde, beläuft sich auf 1361, während die geprüften Stellen 1476 Empfehlungen als „zur Überprüfung bereit“ einstuften. Von allen in diesem Zeitraum durchgeführten Follow-up-Prüfungen wurden 1296 (95 %) vom Internen Auditdienst abgeschlossen. Somit veranschlagt der Interne Auditdienst, dass 5 % der Empfehlungen nicht als wirksam umgesetzt gelten und daher nach dem Ende der Follow-up-Prüfung nicht als abgeschlossen angesehen werden können. Insgesamt erachtet der Interne Auditdienst den Stand der Umsetzung der Prüfungsempfehlungen als zufriedenstellend und mit anderen Prüfungsperioden vergleichbar. Er weist darauf hin, dass die Kommissionsdienststellen die als „sehr wichtig“ eingestuften Empfehlungen gewissenhaft umsetzen und auf diese Weise die ermittelten Risiken begrenzen. Gleichwohl muss die Aufmerksamkeit auf als „sehr wichtig“ bewertete, lange – d. h. länger als sechs Monate – überfällige Empfehlungen gerichtet werden. Dazu wurde ein eigener Bericht erstellt und an den Auditbegleitausschuss übermittelt ; eine Zusammenfassung dieses Berichts ist in der diesem Bericht beigefügten Arbeitsunterlage der Kommissionsdienststellen enthalten.



4.Schlussfolgerungen auf der Grundlage der im Jahr 2017 durchgeführten Prüfungsarbeit 4.1.Schlussfolgerungen zu den Leistungsprüfungen Als Reaktion auf die Initiative der Kommission, eine Leistungskultur zu etablieren und die Kosteneffizienz stärker in den Mittelpunkt zu stellen, setzte der Interne Auditdienst im Rahmen seines strategischen Prüfungsplans 2016-2018 seine Leistungs- und Gesamtprüfungen (d. h. Prüfungen, die wichtige leistungsrelevante Elemente umfassen) im Jahr 2017 fort. Mithilfe einer eigenen Methode sowie nach bewährten Verfahren bewertete der Interne Auditdienst die erzielten Leistungen mittelbar, d. h. er untersuchte, ob und wie die Verwaltungen Kontrollsysteme errichtet haben, mit denen die Leistung ihrer Tätigkeiten (Wirksamkeit und Effizienz) bewertet und deren Zuverlässigkeit geprüft werden kann. Mit diesem Ansatz will der Interne Auditdienst in erster Linie sicherstellen, dass die Generaldirektionen und Dienststellen angemessene Leistungsrahmen und Leistungsmessinstrumente sowie Schlüsselindikatoren und Überwachungssysteme eingerichtet haben. Teilweise ist dies darauf zurückzuführen, dass in zahlreichen Rechtsgrundlagen Ziele festgelegt sind, die über die Grenzen dessen hinausgehen, was die Kommission selbst erreichen kann. Dies bedeutet, dass zunächst SMART-Zielvorgaben und -Richtwerte (also spezifische, messbare, erreichbare, relevante und zeitlich genau festgelegte Zielvorgaben und Richtwerte) auf Kommissionsebene festgelegt werden müssen, um so den spezifischen Beitrag der Kommission von jenem anderer wichtiger Akteure, die zur Umsetzung und Erreichung der Ziele von EU-Fonds beitragen (Mitgliedstaaten, Regionen, Drittländer, Internationale Organisationen usw.), so weit wie möglich zu trennen. In den folgenden Abschnitten werden die Schlussfolgerungen zu den Prüfungen dargelegt, die der Interne Auditdienst 2017 hinsichtlich verschiedener Leistungsaspekte durchgeführt hat. 4.1.1.Leistung der Generaldirektionen der Kommission, der Dienststellen und Exekutivagenturen: Horizontale Prozesse 4.1.1.1. Organisation und Abläufe Im Oktober 2016 veröffentlichte der Europäische Rechnungshof seinen Sonderbericht Nr. 27/2016 „Wendet die Europäische Kommission im Bereich der Governance vorbildliche Verfahren an?“. Der Rechnungshof empfahl darin unter anderem, dass die Kommission den Internen Prüfer auffordern sollte, verstärkt Fragen der Governance auf hoher Ebene zu prüfen. Als Reaktion hierauf nahm das Kollegium am 11. Januar 2017 einen Beschluss (C(2017) 4 final) an, in dem der Interne Prüfer aufgefordert wurde, die Governance-Regelungen der Kommission in Bezug auf das Risikomanagement, die Finanzberichterstattung und die Ex-post-Überprüfung/Audittätigkeit zu prüfen. Der Interne Auditdienst nahm eine solche Prüfung im Jahr 2017 vor, zusätzlich zu einigen Prüfungen der Arbeitsabläufe auf hoher Ebene in anderen Bereichen der Kommission, die bereits geplant gewesen waren. Wie aus den Ergebnissen dieser Prüfungen hervorgeht, weisen verschiedene Regelungen – sowohl auf Kommissionsebene als auch auf operativer Ebene – sehr große Mängel auf. Angesichts der derzeit bestehenden Herausforderungen im EU-Kontext und der Notwendigkeit, das Vertrauen der Bürgerinnen und Bürger in die Politik und Organe der EU zu stärken, ist der Interne Auditdienst zu dem Schluss gelangt, dass die Kommission die Gelegenheit nutzen sollte, um ihre internen Arbeitsabläufe und damit die Fähigkeit, ihre Ziele zu erreichen, weiter zu verbessern. Nach der Verwaltungsreform im Jahr 2000 hat die Kommission spürbare Fortschritte bei der Stärkung ihrer Rechenschaftspflicht, Verantwortung und Verfahren zur Feststellung der Zuverlässigkeit erzielt. Das dezentralisierte Finanzverwaltungsmodell ist gut nachvollziehbar und in die Institutionskultur eingebettet; zudem wurden klar definierte Instrumente zur Rechenschaftslegung und ein solides Verfahren zur Feststellung der Zuverlässigkeit eingerichtet. Darüber hinaus nahm die Kommission im Oktober 2017 eine Mitteilung zur Governance in der Europäischen Kommission an. Der Interne Auditdienst musste dennoch feststellen, dass bei den derzeit auf Kommissionsebene bestehenden Führungs- und Aufsichtsregelungen verhältnismäßige Verbesserungen erforderlich sind, insbesondere was das Risikomanagement und allgemeinere Aspekte von Organisation und Abläufen anbelangt. Wenngleich bei der kommissionsweiten IT-Governance seit der Einführung neuer IT-Organisationsstrukturen im Jahr 2015 signifikante Fortschritte erreicht werden konnten, wurden auch in diesem Bereich erhebliche Mängel festgestellt, die angemessen und hinreichend behoben werden müssen, um den organisatorischen Rahmen zu verstärken und weiter zu konsolidieren. Die empfohlenen Verbesserungen zielen darauf ab, die bestehenden Strukturen der Kommission zu ergänzen und zu stärken, etwa durch weitere Befugnisse für den IT-Beirat, eine klar definierte allgemeine IT-Strategie und eine verbesserte Aufsicht über das IT-Investitionsportefeuille in der gesamten Kommission.

Die Generaldirektion Humanressourcen und Sicherheit, das Amt für die Feststellung und Abwicklung individueller Ansprüche (PMO) und das Europäische Amt für Personalauswahl (EPSO) verfügen über verschiedene kommissionsinterne Informationssysteme, die für die tägliche Arbeit der Kommission und anderer europäischer Organe, Exekutivagenturen und dezentraler Agenturen der EU sowie anderer EU-Einrichtungen von entscheidender Bedeutung sind. Bei den für diese Systeme geltenden Verantwortlichkeits- und Projektmanagement-Regelungen wurden erhebliche Defizite festgestellt. Um sowohl in der Personalverwaltung als auch mit Blick auf die Generaldirektion Informatik, dem wichtigsten Dienstleister im Bereich IT-Systeme und -Dienste, eine strategische Angleichung zu erreichen und auf diese Weise den Wert der IT-Investitionen zu optimieren, sind wesentliche Verbesserungen vonnöten. Auch den erheblichen Mängeln, die im Bereich der Erstellung und Qualität von Statistiken, die nicht von Eurostat stammen, festgestellt worden sind, liegen Steuerungsdefizite zugrunde. Der Interne Auditdienst erkennt an, dass innerhalb der Grenzen des derzeit abgesteckten Rahmens und der jeweiligen Zuständigkeiten der beteiligten Akteure sowohl für die Kommission insgesamt (Eurostat) als auch auf operativer Ebene (Generaldirektionen/Dienststellen) bereits einige Schritte unternommen worden sind, um die Statistikerstellung durch die Generaldirektionen/Dienststellen besser zu koordinieren und zu steuern und auf diese Weise die Statistikqualität zu steigern. Darüber hinaus verfügen die operativen Generaldirektionen über Verfahren und Maßnahmen, die sicherstellen, dass der jeweilige statistische Bedarf entweder von externen Dienstleistern oder durch die interne Verarbeitung bereits verfügbarer Daten gedeckt wird. Das Ausmaß der Formalisierung und die Komplexität dieser Verfahren und Maßnahmen variieren jedoch. Der bestehende kommissionsinterne Rahmen ist allerdings nicht robust genug, um zu gewährleisten, dass die Qualität der nicht von Eurostat erstellten Statistiken insgesamt zufriedenstellend ausfällt und die verschiedenen derzeit angewandten Verfahren auch auf lange Sicht nachhaltig sind. 4.1.1.2. Verwaltungsverfahren im HR-Bereich Im HR-Bereich führte der Interne Auditdienst für einige Generaldirektionen und Exekutivagenturen eine Bewertung im Hinblick darauf durch, ob sie angemessene Personalstrategien zur Bewältigung von Herausforderungen entwickelt und umgesetzt haben, die infolge neuer Prioritäten, Personalbestandsveränderungen und Umstrukturierungen entstanden sind. Generell kam der Auditdienst nach seinen Prüfungen zu dem Schluss, dass die Generaldirektionen und Exekutivagenturen geeignete Maßnahmen zur Bewältigung ihrer Herausforderungen im HR-Bereich ergriffen haben. Dennoch wurden beim strategischen Personalmanagement in der Generaldirektion Migration und Inneres und in der Exekutivagentur Bildung, Audiovisuelles und Kultur, bei der Zuweisung von Personal in der Generaldirektion Migration und Inneres und in der Generaldirektion Justiz und Verbraucher sowie bei der Organisationsstruktur und beim Auswahlverfahren für Vertragsbedienstete in der Exekutivagentur Bildung, Audiovisuelles und Kultur Schwächen festgestellt. 4.1.1.3. Verwaltungsverfahren im IT-Bereich Aus mehreren IT-Prüfungen ging hervor, dass die IT-Sicherheit in der Kommission noch verbessert werden kann. Die Cybersicherheit bzw. IT-Sicherheit ist von zentraler Bedeutung, wenn es darum geht, sicherzustellen, dass innerhalb einer Organisation Informationen vor einer Offenlegung gegenüber Unbefugten (Vertraulichkeit) und vor unzulässiger Änderung (Integrität) geschützt sind und von Befugten bei Bedarf genutzt werden können (Verfügbarkeit). Nach der Prüfung der IT-Sicherheit in der Generaldirektion Informatik kam der Interne Auditdienst zu dem Schluss, dass die Präventivmaßnahmen zwar angemessen konzipiert und wirksam sind, die einzelnen analysierten Technologien jedoch einen unterschiedlichen Reifegrad aufweisen. Zudem bestehen erhebliche Mängel bei den Integritätskontrollen, die in der Praxis weniger systematisch und wirksam angewendet werden. Im Rahmen der Prüfung auf operativer Ebene wurde festgestellt, dass mehrere von der Generaldirektion Energie verwaltete IT-Systeme zur Unterstützung der Kernmaterialbuchführung und der Kontrollverfahren, mit denen Verschlusssachen im Rahmen der Euratom-Sicherungsmaßnahmen bearbeitet werden, wesentliche Schwachpunkte aufweisen, die beseitigt werden müssen. Insbesondere leiten sich die derzeitigen Sicherheitsvorkehrungen hauptsächlich aus einer Bewertung ab, die vor rund 16 Jahren vorgenommen wurde und nicht mehr aktualisiert worden ist. Darüber hinaus wurden organisatorische Mängel in den Steuerungsabläufen für IT-Sicherheit, den IT-Sicherheitsplänen und hinsichtlich der Kontrollen über das gesicherte Netz festgestellt. Das Europäische Amt für Betrugsbekämpfung (OLAF) verarbeitet eine große Menge sensibler Daten in seinen IT-Systemen, wobei besondere Vertraulichkeits- und Integritätsanforderungen gelten. Der Interne Auditdienst erkennt an, dass das Europäische Amt für Betrugsbekämpfung eine Reihe bewährter Verfahren anwendet, um die inhärenten Sicherheitsrisiken, denen es ausgesetzt ist, zu verringern. Dennoch ermittelte der Interne Auditdienst verschiedene Schwachstellen, was zu dem Schluss führte, dass die vorgesehenen Kontrollen keine ausreichende Gewähr dafür bieten, dass IT-Sicherheitsrisiken angemessen gemindert werden. Insbesondere müssen das System für die Verwaltung von Inhalten – d. h. das zentrale System, das vom Europäischen Amt für Betrugsbekämpfung bei der täglichen Bearbeitung von Fällen genutzt wird – und generell die Struktur für IT-Sicherheit deutlich verbessert werden. 4.1.1.4. Weitere Verfahren Weitere Prüfungen des Internen Auditdiensts in verschiedenen Bereichen ergaben, dass zusätzliche Maßnahmen erforderlich sind, um die Gesamtleistung der geprüften Verfahren zu steigern. So müssen die bevollmächtigten Anweisungsbefugten bei der Einrichtung der internen Kontrollsysteme in ihren Generaldirektionen berücksichtigen, ob die Kontrollen kostenwirksam sind, und in ihren jährlichen Tätigkeitsberichten über die Kostenwirksamkeit der Kontrollen Bericht erstatten. Die Kommission muss bei der Überarbeitung oder Vorlage neuer Ausgabenvorschläge die Kosten und Nutzen von Kontrollsystemen abschätzen. Die Prüfung der Rahmenbedingungen/Regelungen der Kommission für die Schätzung, Bewertung und Berichterstattung hinsichtlich der Kostenwirksamkeit von Kontrollen, die in mehreren Generaldirektionen durchgeführt wurde, deckte signifikante Defizite im derzeitigen kommissionsweiten Rahmen auf. Diese Mängel schmälern erheblich den Wert der Ergebnisse, die im Zusammenhang mit den Kosten und dem Nutzen von Kontrollen – sowohl in Zusammenhang mit der Verwaltung durch die Kommission als auch mit externen Interessenträgern – gemeldet werden. Damit das Verfahren zweckdienlicher und aussagekräftiger wird, müssen zentrale Elemente des Rahmens grundlegend verbessert werden. Die Verwaltung der Agrarmärkte, einschließlich bei Marktkrisen, ist eine der Hauptaufgaben der Generaldirektion Landwirtschaft und ländliche Entwicklung, die sich aus den gemeinsamen agrarpolitischen Zielen ergibt. Die Generaldirektion hat angemessene Verfahren eingerichtet, die es ihr ermöglicht haben, rechtzeitig auf Marktkrisen zu reagieren. Allerdings wurde festgestellt, dass sich die Generaldirektion Landwirtschaft und ländliche Entwicklung beim Risikomanagement und bei der Nachverfolgung von Krisenmaßnahmen nicht in ausreichendem Maße auf die Erfahrungen stützt, die sie in früheren Marktkrisen sammeln konnte. Im Hinblick auf die Krisenvorsorge im Bereich der Lebensmittelsicherheit stellte der Interne Auditdienst fest, dass die Generaldirektion Gesundheit und Lebensmittelsicherheit den „allgemeinen Plan“ für Lebensmittelkrisen und die damit verbundenen Verfahren und Vorkehrungen nicht regelmäßig aktualisiert hat, diesen Plan nicht mit der Mehrheit der wichtigsten Interessenträger, die für das Krisenmanagement auf Ebene der Mitgliedstaaten und der Kommission zuständig sind, getestet hat und keine konkreten Pläne für dessen Durchführung vorliegen. Darüber hinaus wurden bei der Prüfung Kommunikationsmängel festgestellt. Die effiziente und wirksame Krisenvorsorge wird dadurch gefährdet. Ziel der Wettbewerbspolitik der Europäischen Union ist es, durch Prävention bzw. Korrektur wettbewerbswidriger Verhaltensweisen in den Bereichen Kartelle, Unternehmenszusammenschlüsse und staatliche Beihilfen einen verzerrungsfreien Wettbewerb im freien Binnenmarkt zu gewährleisten. Bei einem System, in dem für die Durchsetzung der EU-Kartellpolitik sowohl die Europäische Kommission als auch die Mitgliedstaaten zuständig sind, kann die Politik ihre Gesamtwirkung nur bei einer angemessenen Koordinierung entfalten. Eine erhebliche Schwachstelle ist die Zusammenarbeit mit den nationalen Gerichten, da von diesen nur wenige Informationen kommen. Entgegen der Verordnung 1/2003 ist die Kommission von einigen Mitgliedstaaten nicht vollumfänglich über die auf nationaler Ebene zur Durchsetzung des EU-Kartellrechts ergangenen Urteile unterrichtet worden. Dies hindert sie daran, Stellung zu nehmen, wenn eine der Parteien Rechtsmittel gegen ein solches Urteil einlegt, und Schwachstellen oder Unterschiede bei der Durchsetzung des EU-Wettbewerbsrechts zu ermitteln und zu beurteilen. Von allen Kommissionsdienststellen verzeichnet die Generaldirektion Umwelt mit die größte Zahl an Beschwerden und Vertragsverletzungsverfahren. In den vergangenen zehn Jahren hat sie erhebliche Anstrengungen unternommen, um die Durchsetzung des ausgesprochen komplexen EU-Umweltrechts zu verbessern. Doch trotz der Bemühungen, die Bearbeitung der großen Zahl an Beschwerden und Vertragsverletzungen zu verbessern, hat sie nach wie vor beträchtliche Schwierigkeiten, die von der Kommission gesetzten einschlägigen Zielvorgaben einzuhalten. Auch dürfte sich der gegenwärtige Druck auf die an diesen Verfahren beteiligten Mitarbeiter durch die in der Kommissionsmitteilung „EU-Recht: Bessere Ergebnisse durch bessere Anwendung“ enthaltenen neuen Bestimmungen weiter erhöhen. Infolgedessen bestehen trotz der von der Generaldirektion Umwelt zur Gewährleistung einer wirksamen Durchsetzung des Umweltrechts geschaffenen angemessenen Verfahren nach wie vor eine Reihe erheblicher Schwachstellen, die insbesondere die Effizienz und Wirksamkeit der Bearbeitung von Beschwerdefällen und die Durchsetzung des EU-Umweltrechts betreffen und in Angriff genommen werden müssen. Wissenschaftliche Projekte gehören zum Kerngeschäft der Gemeinsamen Forschungsstelle und ermöglichen fundierte und unabhängige wissenschaftliche Ergebnisse, die über den gesamten politischen Zyklus hinweg als Entscheidungshilfen für die EU-Politik herangezogen werden. Auch wenn die von der Gemeinsamen Forschungsstelle für die Verwaltung ihrer wissenschaftlichen Projekte geschaffenen Verwaltungs- und Kontrollsysteme als angemessen zu betrachten sind, stellt bei deren Umsetzung die Überwachung der Ausführung solcher Projekte und Arbeitspakete doch eine erhebliche Schwachstelle dar. Bei der Überprüfung der Einhaltung berufsethischer Grundsätze beim Europäischen Amt für Betrugsbekämpfung gelangte der Interne Auditdienst zu dem Schluss, dass der vom Europäischen Amt für Betrugsbekämpfung geschaffene und implementierte Ethikrahmen auf klaren Verfahren beruht, die dem spezifischen Arbeitsumfeld und der Art der Arbeiten der Generaldirektionen Rechnung tragen. Interne Kontrollen sorgen dafür, dass die Mitarbeiter die berufsethischen Regeln und Pflichten in hohem Maße einhalten, was insbesondere für die Unabhängigkeit, die Integrität, die Unparteilichkeit, die Verschwiegenheit und die Objektivität gilt. Allerdings müssen die Mitarbeiter des Europäischen Amts für Betrugsbekämpfung erheblich besser für den Umgang mit sozialen Medien und Interessenvertretern gewappnet werden. Darüber hinaus hat der Interne Auditdienst das Kostenerstattungsverfahren überprüft, das die Generaldirektion Humanressourcen und Sicherheit für die von ihr erbrachten Leistungen praktiziert, und dabei festgestellt, dass die Generaldirektion bereits eine Reihe von Schritten eingeleitet hat, um dieses Verfahren zu verbessern und mit hausinternen Leitlinien in Einklang zu bringen. Hierzu zählten in erster Linie die Überarbeitung ihrer Kostenrechnungsmethode und die Harmonisierung der Leistungsvereinbarungen mit den dezentralen Agenturen, die den größten Teil ihrer externen Kunden ausmachen. Dennoch wies der Entwurf des Kostenrechnungsmodells zum Zeitpunkt der Überprüfung noch eine erhebliche Schwachstelle auf und müssen zentrale Bereiche gestärkt werden, um voll und ganz mit unternehmensüblichen Anforderungen und mit Grundprinzipien in Einklang zu stehen. 4.1.2.Fazit für den Bereich operative Ausgaben und Verwaltungsausgaben

4.1.2.1. Direkte Mittelverwaltung Bei der direkten Mittelverwaltung wurden im Rahmen mehrerer Prüfungen Programm- und Projektmanagementprozesse bewertet und dabei in diesem Bereich keine wesentlichen Schwachstellen festgestellt. 4.1.2.2. Indirekte Mittelverwaltung Bei der indirekten Mittelverwaltung waren mehrere Prüfungen hauptsächlich auf die von den Generaldirektionen und Dienststellen getroffenen Überwachungsvorkehrungen gerichtet. Eine vom Internen Auditdienst bezüglich der Überwachung des gemeinsamen Unternehmens Shift2Rail (S2R) durchgeführte Prüfung brachte ein erhebliches Versäumnis zutage: so hat die Generaldirektion Mobilität und Verkehr für Shift2Rail keine formalisierte, konsolidierte, risikogestützte Überwachungsstrategie festgelegt, in der die mit der Überwachung verfolgten Ziele festgelegt werden und ausgeführt wird, wie die verschiedenen Überwachungsinstrumente dazu beitragen, Vertrauen in die Erreichung der politischen Ziele zu schaffen. So gibt es abgesehen von der Vorbereitung der Sitzungen des Leitungsorgans des gemeinsamen Unternehmens keine förmliche Aufgabenverteilung zwischen den für die Überwachung von Shift2Rail zuständigen operativen und mit Finanzangelegenheiten befassten Referaten der Generaldirektion Mobilität und Verkehr. Auch hat die Generaldirektion Mobilität und Verkehr weder eine förmliche Bestandsaufnahme der mit Shift2Rail verbundenen Aufgaben durchgeführt noch eine Schätzung der hierfür erforderlichen Ressourcen vorgenommen. Eine Prüfung der Verwaltung der Investitionsfazilitäten bei der Generaldirektion Internationale Zusammenarbeit und Entwicklung hat ergeben, dass die Generaldirektion weder die operative Leistungsfähigkeit der internationalen Finanzinstitutionen (IFIs) noch die wesentlichen Aspekte der Mischfinanzierungen, über die sie dem Europäischen Parlament und dem Rat alljährlich Bericht erstatten muss, systematisch überwacht. Auch sind die von den IFIs bei den EU-Delegationen vorgelegten Berichte von unterschiedlicher Qualität. Infolgedessen verfügen die EU-Delegationen nicht immer über die für eine angemessene Überwachung der operativen und finanziellen Aspekte eines Projekts maßgeblichen Informationen. 4.1.2.3. Geteilte Mittelverwaltung Bei der geteilten Mittelverwaltung wurden im Rahmen mehrerer Prüfungen Programm- und Projektmanagementprozesse bewertet. Diese brachten mehrere signifikante Schwachstellen ans Licht, von denen einige die Erreichung der politischen Ziele gefährden könnten. Der Prozess zur Änderung operationeller Programme (OP) ermöglicht den Mitgliedstaaten eine Neuausrichtung der Durchführungsmechanismen für diese Programme. Bevor eine solche Änderung jedoch per Kommissionsbeschluss angenommen werden kann, muss die zuständige Generaldirektion eine eingehende Analyse vornehmen. Auch wenn der überprüfte Prozess insgesamt gut funktioniert und die Generaldirektion Regionalpolitik und Stadtentwicklung, die Generaldirektion Beschäftigung, Soziales und Integration und die Generaldirektion Maritime Angelegenheiten und Fischerei erhebliche Anstrengungen unternommen haben, um nicht nur intern, sondern auch generaldirektionsübergreifend ein koordiniertes Vorgehen sicherzustellen, besteht hinsichtlich Kohärenz, Wirksamkeit und Rechtzeitigkeit der Programmänderungen eine erhebliche Schwachstelle. Für die Finanzierung von Beschäftigungsinitiativen für junge Menschen werden verschiedene von der Generaldirektion Beschäftigung, Soziales und Integration verwaltete Instrumente genutzt. Bei den Mechanismen, die bei der Vorbereitung neuer politischer Initiativen zur Förderung der Beschäftigung junger Menschen für Kohärenz sorgen sollen, der Durchführung der Finanzierung und dem Mechanismus, über den Mittel erforderlichenfalls auf neue oder dringende politische Prioritäten umverteilt werden, wurden erhebliche Schwachstellen festgestellt. Der Europäische Hilfsfonds für die am stärksten benachteiligten Personen (FEAD) wird über verschiedene operationelle Programme umgesetzt, die von der Generaldirektion Beschäftigung, Soziales und Integration verwaltet werden. Die größte ermittelte Schwachstelle betrifft die Leistungsmessung und die Berichterstattung. So fehlen dem Rechtsrahmen des Fonds Elemente eines Leistungsmessungsrahmens, wie Etappenziele und Zielvorgaben für gemeinsame Indikatoren oder spezifische Ziele. Die Indikatoren und Daten, die für diesen Fonds übermittelt werden, haben natürliche Grenzen, die ihren Nutzen für die Berichterstattung über das Gesamtergebnis des Fonds einschränken. Auch mangelt es der Rechtsgrundlage an Mechanismen, die eine Nachverfolgung der Begleitmaßnahmen ermöglichen würden, und gehen nicht regelmäßig Informationen über die Umsetzung vor Ort ein, die eine wirksame Programmüberwachung erleichtern würden. Die Prüfung größerer Projekte bei der Generaldirektion Regionalpolitik und Stadtentwicklung hat erhebliche Schwachstellen bei der Genehmigung und Beaufsichtigung der Anlaufphase größerer Projekte ergeben, die vom Europäischen Fonds für Regionalentwicklung und dem Kohäsionsfonds gefördert werden. 4.2.Eingeschränkte Schlussfolgerungen des Internen Auditdienstes zum Stand der internen Kontrollen in den einzelnen GDs Im Februar 2018 legte der Interne Auditdienst allen Generaldirektionen und Dienststellen eingeschränkte Schlussfolgerungen zum Stand ihrer internen Kontrollen vor. Diese Schlussfolgerungen flossen in die jährlichen Tätigkeitsberichte der betreffenden Generaldirektionen und Dienststellen für das Jahr 2017 ein. Sie sind das Ergebnis der Prüfungstätigkeit der vergangenen drei Jahre und decken alle offenen Empfehlungen des Internen Auditdienstes und der vormals mit internen Prüfungen befassten Stellen (sofern der IAS diese übernommen hat) ab. Die Schlussfolgerung des Internen Auditdienstes zum Stand der internen Kontrollen beschränkt sich auf die Verwaltungs- und Kontrollsysteme, die einer Prüfung unterzogen wurden, und schließt somit die in den vergangenen drei Jahren nicht vom Internen Auditdienst geprüften Systeme aus. In den eingeschränkten Schlussfolgerungen wurde besonders auf nachstehend genannte Generaldirektionen eingegangen (was auch Vorbehalte im jährlichen Tätigkeitsbericht der betreffenden Generaldirektion nach sich zog): ·auf die Generaldirektion Klimapolitik wegen der verzögerten Umsetzung einer ausgesprochen wichtigen Empfehlung zur IT-Sicherheit (zum Sicherheitsmanagement des IT-Systems für den EU-Emissionshandel), was die Generaldirektion dem Risiko von Sicherheitslücken aussetzt; ·auf die Generaldirektion Internationale Zusammenarbeit und Entwicklung wegen der verzögerten Umsetzung einer ausgesprochen wichtigen Empfehlung, die im Zusammenhang mit der Prüfung der Verwaltung der Friedensfazilität für Afrika ausgesprochen worden war; ·auf die Exekutivagentur Bildung, Audiovisuelles und Kultur wegen einer kritischen und mehrerer sehr wichtiger Empfehlungen, die im Zusammenhang mit der Prüfung der Phase 1 des Finanzmanagement der Programme Erasmus+ und Kreatives Europa ausgesprochen worden war. Darüber hinaus hat der Interne Auditdienst besonders auf die bei einer Prüfung des Finanzmanagements beim Dienst zur Unterstützung von Strukturreformen im Zusammenhang mit dem öffentlichen Auftragswesen festgestellten Probleme hingewiesen und den Dienst aufgefordert, gebührend zu beurteilen, ob diese einen Vorbehalt im jährlichen Tätigkeitsbericht notwendig machen. Gestützt auf die bestehenden Unternehmensleitlinien gelangte der Dienst zu dem Schluss, es bestehe weder Grund für einen finanziellen Vorbehalt noch die Notwendigkeit für einen durch Reputationsrisiken begründeten Vorbehalt im jährlichen Tätigkeitsbericht, da die festgestellten Risiken nicht eingetreten seien. Dieser Einschätzung schließt sich der Interne Auditdienst an. 4.3.Gesamtbewertung des Finanzmanagements der Kommission