[pic] | EUROPÄISCHE KOMMISSION |

Brüssel, den 31.8.2010

KOM(2010) 447 endgültig

BERICHT DER KOMMISSION AN DAS EUROPÄISCHE PARLAMENT UND DEN RAT

Jahresbericht an die Entlastungsbehördeüber die im Jahr 2009 durchgeführten internen Prüfungen(Artikel 86 Absatz 4 der Haushaltsordnung)

SEK(2010) 994

INHALTSVERZEICHNIS

1. Einführung 3

1.1. Die Aufgaben des IAS: Unabhängigkeit, Objektivität und Rechenschaftspflicht 3

2. Arbeitsumfeld und Prüfungsplan 4

2.1. Das interne Audit 4

2.2. Umsetzung des strategischen Prüfungsplans des IAS 4

2.3. Akzeptanz der Empfehlungen und Wahrnehmung der Arbeit des IAS 4

3. Wichtigste Feststellungen und Empfehlungen des IAS 5

4. Schlussfolgerungen 11

Einführung

Mit dem vorliegenden Bericht wird die Entlastungsbehörde, wie in Artikel 86 Absatz 4 der Haushaltsordnung vorgeschrieben, über die Tätigkeit des Internen Auditdienstes der Kommission (Internal Audit Service – IAS) unterrichtet. Der Bericht stützt sich auf den Prüfungsbericht des IAS nach Artikel 86 Absatz 3 der Haushaltsordnung, in dem die wichtigsten Prüfungsfeststellungen genannt und – auf der Grundlage von berufsspezifischen Standards – die wesentlichen Risikofaktoren, verschiedene Kontrollaspekte und Corporate-Governance-Fragen aufgezeigt werden.

Der vorliegende Bericht basiert auf den Prüfungs- und Beratungsberichten des IAS, die im Jahr 2009[1] von den Dienststellen der Kommission und den Exekutivagenturen abgeschlossen wurden. Er gibt keinen Aufschluss über die Ergebnisse der Prüftätigkeit in anderen vom IAS geprüften Agenturen oder Einrichtungen, über die gesonderte Jahresberichte erstellt werden.

Die Reaktionen der Kommission auf die Feststellungen und Schlussfolgerungen des Internen Prüfers sind dem Synthesebericht[2] zu entnehmen, in dem die Kommission zu den vom IAS, dem Europäischen Rechnungshof und der Entlastungsbehörde angesprochenen Querschnittsthemen sowie zu den vom Auditbegleitausschuss festgestellten und den in den Vorschlägen für die alle drei Jahre stattfindende Überarbeitung der Haushaltsordnung festgehaltenen Problemen Stellung bezieht.

Die Aufgaben des IAS : Unabhängigkeit, Objektivität und Rechenschaftspflicht

Der IAS hat die Aufgabe, die internen Verwaltungs- und Kontrollsysteme der Kommission sowie der Regulierungs- und der Exekutivagenturen im Hinblick auf eine kontinuierliche Verbesserung auf ihre Wirksamkeit zu prüfen und so einen Beitrag zur wirtschaftlichen Haushaltsführung der Europäischen Kommission zu leisten.

Der IAS ist dem für den Geschäftsbereich Audit zuständigen Mitglied der Kommission unterstellt und ist gegenüber dem Auditbegleitausschuss rechenschaftspflichtig.

Der IAS führt seine Tätigkeit in Einklang mit den Internationalen Standards für die berufliche Praxis der internen Revision des Institute of Internal Auditors durch, und der Interne Prüfer hat gegenüber dem Auditbegleitausschuss seine Unabhängigkeit von den geprüften Organisationen erklärt.

Das Gremium für finanzielle Unregelmäßigkeiten hat 2009 keine systeminhärenten Probleme nach Artikel 112 der Durchführungsbestimmungen zur Haushaltsordnung festgestellt.

ARBEITSUMFELD UND PRÜFUNGSPLAN

Das interne Audit

Der IAS hat die Prüfungsplanung, die regelmäßige Bereitstellung von Auditberichten sowie den Austausch von Methoden und gemeinsamen Ausbildungsangeboten mit dem Europäischen Rechnungshof und den Internen Auditstellen koordiniert.

Die Definition des allgemeinen Prüfungsrahmens („audit universe“) und die Methodik der Risikobewertung stimmen bei IAS und Internen Auditstellen überein. Das Netzwerk der Internen Auditstellen unter dem Vorsitz des IAS (Auditnet) bot weiterhin eine wirkungsvolle Plattform für die Harmonisierung des internen Prüfungskonzepts innerhalb der Kommission.

Die Konzeption eines Schulungsprogramms für interne Prüfer der Kommission einschließlich einer vom OLAF erarbeiteten Schulung zur Betrugsbekämpfung wurde abgeschlossen.

Umsetzung des strategischen Prüfungsplans des IAS

Der strategische Prüfungsplan des IAS für den Zeitraum 2007-2009 wurde 2009 aktualisiert, um den Ergebnissen der jährlichen Risikobewertung durch das Management sowie sonstigen Veränderungen des inneren und äußeren Umfelds (z. B. Veränderungen der Aufgaben, Abläufe, Programme, Systeme und Kontrollen der Organisation) Rechnung zu tragen.

Der IAS bzw. die Internen Auditstellen werden die Prüfung der internen Kontrollsysteme der Kommission, die 56 % des allgemeinen Prüfungsrahmens (66 % der Mittelbindungen für 2009) umfassten, voraussichtlich bis zum Ende des Planungszyklus 2007-2009 abschließen. Der genaue erreichte Prüfungsumfang wird berechnet, sobald alle Internen Auditstellen die aktualisierten Zahlen vorgelegt haben. Der IAS hat auch eine Reihe von Prüfungen im nichtfinanziellen Bereich (z. B. Betriebskontinuität, Risikomanagement) durchgeführt.

Im Jahr 2009 schloss der IAS sein Arbeitsprogramm zu 87 % ab. Dabei wurden die im Arbeitsprogramm vorgesehenen Aufträge der Kategorie C1[3] zu 100 % und die Aufträge der Kategorie C2[4] zu 66 % abgeschlossen. Insgesamt wurden 67 Berichte erstellt (34 Auditberichte, 32 Follow-up-Berichte und 1 Beratungsbericht). Eine vollständige Liste findet sich im Anhang.

Akzeptanz der Empfehlungen und Wahrnehmung der Arbeit des IAS

Im Jahr 2009 wurden 98,8 % der im Rahmen von Prüfungen ausgesprochenen Empfehlungen von den geprüften Stellen angenommen.

[pic]

*Alle Empfehlungen mit Ausnahme von zwei „sehr wichtigen“ und einer „wichtigen“ Empfehlung wurden angenommen.

In den Rückmeldungen der geprüften Stellen bewerteten diese ihre Zufriedenheit mit den einzelnen Prüfungen auf einer Skala von 1 (höchster Wert) bis 4 (niedrigster Wert) mit durchschnittlich 1,71 (2008: 1,74, 2007: 1,86). Bei einer Anfang 2010 durchgeführten Befragung waren 78,8 % der Beteiligten der Ansicht, der IAS verfolge und vermittle eine überzeugende Vision im Hinblick auf den Bereich Governance und interne Kontrolle, 90,0 % der Beteiligten gaben an, die Prüfungen würden ehrlich, objektiv und fair durchgeführt, und 76,3 % antworteten, die Empfehlungen des IAS seien für die befragte Stelle unmittelbar von Nutzen (gegenüber 61,5 % im Jahr 2008 und 48,8 % im Jahr 2007). Insgesamt erklärten 90,0 % der Beteiligten, die Arbeit des IAS leiste einen Beitrag zur Qualität der Verwaltungs- und Kontrollsysteme der Kommission und ihrer Exekutivagenturen.

Wichtigste Feststellungen und Empfehlungen des IAS

Betriebskontinuität

Bei vier Dienststellen wurde geprüft, ob die Betriebskontinuität wirkungsvoll und mit angemessenen Mitteln gewährleistet wird. Es wurde anerkannt, dass die Gewährleistung der Betriebskontinuität ein kontinuierlicher Prozess ist, der noch nicht abgeschlossen ist, und dass seit 2006 erhebliche Anstrengungen unternommen wurden, um die Betriebskontinuität zu entwickeln, umzusetzen und zu verbessern. Dennoch fehlt es nach Auffassung des IAS an einem besseren Überblick auf Institutionsebene und verbesserten allgemeinen Leitlinien. Der IAS empfiehlt, die Verantwortung für die Umsetzung dieser Empfehlungen einem geeigneten Aufsichtsgremium oder einer geeigneten Lenkungsfunktion zu übertragen. Die mit der Gewährleistung der Betriebskontinuität betraute horizontale Dienststelle sollte umfassendere Leitlinien für die Durchführung einer Folgeschäden-Analyse auf der Grundlage einer Risikobewertung bereitstellen, die Koordinierung von Querschnittsthemen und wechselseitigen Abhängigkeiten intensivieren und die Notfallplanung zur Gewährleistung der Betriebskontinuität verbessern. Als Voraussetzung für den benötigten Überblick über die Notfallplanung zur Gewährleistung der Betriebskontinuität muss eine vollständige Liste der kritischen Tätigkeiten erstellt werden. Die Pläne sollten regelmäßig in der Praxis kontrolliert werden, und auf der Institutionsebene sollte ein Übungsprogramm für die Gewährleistung der Betriebskontinuität mit obligatorischen regelmäßigen Simulationsübungen konzipiert werden.

Risikomanagement

Der derzeitige Risikomanagementrahmen wurde 2005 zusammen mit einem Aktionsplan, dessen Umsetzung für den Zeitraum 2005 bis 2007 vorgesehen war, eingeführt. Im Rahmen eines 2009 in zwei horizontalen und zwei operativen Dienststellen durchgeführten Auftrags wurden die Eignung des Risikomanagementrahmens und seine wirksame Umsetzung bewertet.

Die Prüfung bestätigte, dass der Risikomanagementrahmen der Kommission mit dem international anerkannten Referenzmodell COSO-Enterprise Risk Management in Einklang steht und eine stabile Grundlage für das Risikomanagement bildet.

Der IAS hat die Empfehlung ausgesprochen, die Rolle der zentralen Dienststellen erheblich zu stärken, um so einen guten Überblick über die Umsetzung des Risikomanagements in der Kommission zu erhalten und sicherzustellen, dass Querschnittsrisiken in vollem Umfang abgedeckt und Risiken für die gesamte Institution korrekt erkannt werden. An die zentralen Dienststellen richtete der IAS die Empfehlung, bewährte Verfahren für das Risikomanagement zu fördern, von den Generaldirektionen gemeldete kritische Risiken und die entsprechenden Reaktionen des Managements zu analysieren und dem Kollegium eine konsolidierte Fassung ihrer Analyse zu übermitteln.

Mit Blick auf die Verbesserung von Management- und Risikoberichten müssen einige grundlegende Konzepte (z. B. für die Bewertung kritischer inhärenter Risiken und Restrisiken) geklärt und weitere Leitlinien (z. B. für die Anwendung des Konzepts der Risikotoleranz und die Berücksichtigung von Risiken, die sich aus der Abhängigkeit von externen Partnern ergeben) bereitgestellt werden.

Die operativen Generaldirektionen müssen ihre derzeitigen Prozesse für das Risikomanagement stärken und das Risikomanagement als wirksames Hilfsmittel in ihren Managementprozess integrieren.

Beschaffung und Verwaltung von Finanzhilfen

In den internen Politikbereichen fanden drei neue Prüfungen und fünf Follow-up-Audits zu den Beschaffungsabläufen und zu den Abläufen bei der Verwaltung von Finanzhilfen statt.

Die Beschaffungsabläufe in der GFS unterliegen inhärenten Risiken, die sich aus der dezentralisierten Struktur der Generaldirektion und der Besonderheit ihrer Tätigkeiten ergeben. Einen besonderen Risikofaktor stellen die Aufbereitung von Nuklearmaterial und der Betrieb von Kernforschungseinrichtungen dar. Der IAS hat empfohlen, den Ablauf der Beschaffungsplanung, die Dokumentation von Beschaffungsunterlagen, die Ex-post-Kontrollen, die Leitlinien und die Überwachung von Ausnahmen zu verbessern.

Hinsichtlich der von der GD ESTAT vergebenen Finanzhilfen wurde vorgeschlagen, die Ex-ante-Evaluierung großer Projekte sowie die Evaluierung im Zuge der Vorbereitung des Vergabeprozesses zu verbessern und die Grundlage für die Kostenabrechnung gegenüber der Kommission zu vereinfachen.

Was die Verwaltung von Finanzhilfen im Rahmen der Schengen-Fazilität angeht, wurde vorgeschlagen, die Berichterstattung in Form der jährlichen Tätigkeitsberichte der GD JLS zu verbessern. Zu diesem Zweck sollten die Berichte um eine Übersicht über die wichtigsten bestehenden Kontrollen für Programme ergänzt werden, die im Rahmen der dezentralen Mittelverwaltung durchgeführt werden. Außerdem sollten die wichtigsten Leistungsindikatoren vorgelegt werden, die die Rechtmäßigkeit und Ordnungsmäßigkeit der zugrunde liegenden Transaktionen belegen. Hinsichtlich der Kontrollen im Zusammenhang mit der Schengen-Fazilität wurde festgestellt, dass für diese keine hinreichend klare Rechtsgrundlage gegeben war. An der niedrigen Ausführungsrate der „Schengen-Fazilität II“ in Bulgarien und Rumänien lässt sich ablesen, dass wichtige Maßnahmen zur Verbesserung der Wirksamkeit der Kontrollen an den Außengrenzen der EU noch nicht durchgeführt wurden oder zum Zeitpunkt der Prüfung hinter dem Zeitplan zurücklagen. Darüber hinaus bestand das Risiko, dass Bulgarien die Mittel der „Schengen-Fazilität II“ nicht vollständig ausschöpfen würde. Die GD JLS sollte nach Absprache mit den Behörden des Mitgliedstaats einen Aktionsplan erstellen, um die Fortschritte in diesem Land verstärkt zu überwachen, und außerdem die Ausarbeitung eines Plans in Betracht ziehen, um für den Fall, dass die Maßnahmen nicht ausgeführt werden, den Verlust von Mitteln möglichst gering zu halten.

Bezüglich der Entwicklung der Kontrollen für das Siebte Forschungsrahmenprogramm (RP7) durch die GD Forschung empfahl der IAS, die Kontrollstrategien zu verbessern. Zwar wurde anerkannt, dass die Vereinfachung und Reduzierung der Ex-ante-Kontrollen von Finanzhilfeempfängern innerhalb der rechtlichen Rahmenbedingungen einen hohen Stellenwert haben, doch machten die Prüfungen deutlich, dass ein tragfähiges Gleichgewicht zwischen vorbeugenden Maßnahmen und Ex-post-Kontrollen hergestellt werden muss. Der IAS hat empfohlen, selektivere, risikobasierte Kontrollen anzuwenden, wo dies erforderlich ist, und eindeutige Strategien für die Betrugsbekämpfung und –aufdeckung zu entwickeln. Die in den Verordnungen vorgesehenen Sanktionsmechanismen sollten in der Praxis angewandt werden, um eine abschreckende Wirkung zu erzielen.

Exekutivagenturen

Es wurden zwei Prüfungen der auf die Exekutivagenturen übertragenen operativen Mittel und zwei Follow-up-Audits in den Exekutivagenturen durchgeführt. Besonderes Augenmerk sollte darauf gelegt werden, dass die Übergabe von Aufgaben der Generaldirektionen an neu geschaffene Exekutivagenturen klar und strukturiert vollzogen wird und die Aufgaben klar zwischen ihnen verteilt werden. Den Empfehlungen des IAS zufolge sollten die einzelnen zuständigen Generaldirektionen mit den Exekutivagenturen eine Vereinbarung abschließen. Darüber hinaus sollte in der zuständigen Generaldirektion eine eindeutige formale Strategie mit dem Ziel entwickelt werden, die Exekutivagentur bei der Wahrnehmung ihrer Verantwortlichkeiten hinsichtlich der operativen Ausgaben zu überwachen.

Nach Abschluss beider Prüfungen wurde empfohlen, ein umfassendes integriertes Management-Informationssystem einzurichten, um so eine bessere Grundlage für die Überwachung der von den Exekutivagenturen verwalteten Programme und für die entsprechende Berichterstattung zu schaffen.

Der Exekutivagentur für Wettbewerbsfähigkeit und Innovation (EAWI) empfahl der IAS, ihren Notfallplan zur Gewährleistung der Betriebskontinuität zu prüfen, um dessen wirksame Umsetzung sicherzustellen. Darüber hinaus stellte der IAS fest, dass es sich negativ auf die Betriebskontinuität der Exekutivagenturen auswirken könnte, wenn der Zugang zu den IT-Systemen und Sicherheitsfunktionen der Kommission eingeschränkt wird, da die Exekutivagenturen auf einige dieser Systeme in hohem Maße angewiesen sind.

Fragen der Informationstechnik (IT)

Auf Anforderung des Auditbegleitausschusses wurden zwei Prüfungsmitteilungen erstellt, in denen die wesentlichen Aspekte der Prüfungen, denen große IT-Systeme und IT-Systeme auf der Institutionsebene[5] während der letzten Jahre unterzogen wurden, zusammengestellt wurden.

Im Zusammenhang mit großen IT-Projekten wurden die folgenden Aspekte festgehalten, die näher betrachtet werden sollten: Stärkung der Risikomanagementverfahren für die IT durch eine regelmäßige und detaillierte Bewertung der Risiken, Entwicklung und Anwendung einer formalen Projektmanagement-Methodik für alle umfangreichen IT-Entwicklungen, genauere Beobachtung der Leistung und Qualität von IT-Auftragnehmern und Umsetzung eines umfassenden formalen Prozesses für die Änderungsverwaltung bei IT-Systemen. Insbesondere wurde auf die Bedeutung einer geeigneten Beschaffungsplanungs- und Bezugsstrategie für den IT-Bereich hingewiesen, die technische Abhängigkeit sowie Betriebsunterbrechungen beim Wechsel von Dienstleistungsanbietern verhindert. Auf Institutionsebene sollte ein besserer Überblick sichergestellt werden, damit wichtige IT-Entwicklungen verfolgt werden können.

Mit großen Systemen und Systemen auf Institutionsebene sind die folgenden Risiken verbunden: die geltenden Vorschriften für die IT-Governance auf Institutionsebene werden nicht eingehalten; der Zeit- und Kostenrahmen für die erwarteten Leistungen wird nicht eingehalten; die Benutzer sind unzufrieden; die Ressourcenauslastung ist unzureichend und das Ansehen wird beschädigt.

Für IT-Systeme auf Institutionsebene wurden zusätzliche Risikofaktoren ermittelt, die im Wesentlichen mit der Notwendigkeit einer geeigneten Verwaltungsstruktur auf zentraler und lokaler Ebene im Zusammenhang stehen: unzureichende Leitlinien und Überwachung innerhalb der Organisationen bei der Entwicklung von Informationssystemen, intransparente Verwaltungsstrukturen, unzureichende Einbindung der Beteiligten in die Entscheidungsfindung und falsche Zuordnung der bei der Durchführung von IT-Projekten entstandenen Kosten. Wenn diese Risiken eintreten, könnten sie die Umsetzung einer kohärenten und wirksamen IT-Strategie der Kommission gefährden und die Verwirklichung der Projektziele behindern. Es besteht das Risiko, dass die Kommission umfangreiche personelle Ressourcen und Haushaltsressourcen nicht effizient nutzt.

Der IAS hat empfohlen, einem geeigneten Gremium die Verantwortung für die Erarbeitung der mittel- bis langfristigen IT-Strategie und –Prioritäten der Kommission zu übertragen. Strategie und Prioritäten sollten gemäß der Empfehlung von der ABM-Lenkungsgruppe gebilligt werden, die auch die wirksame Umsetzung überwachen würde. Die IT-Prioritäten, die für mit operativen und administrativen Mitteln finanzierte Systeme festzulegen sind, sollten die Basis für die IT-Strategien einzelner Generaldirektionen (Vorlagen) und für die Bereitstellung und Freigabe von Haushaltsmitteln bilden. Die Verantwortlichkeiten für die Verwaltung der IT-Systeme auf Institutionsebene sollten genauer festgelegt werden. Zudem sollte der zugehörige Entscheidungsfindungsprozess gestärkt werden, indem die angemessene Einbeziehung der wichtigsten beteiligten Akteure geregelt wird. Die derzeitige Verwaltungsstruktur sollte auf Projekt-, Bereichs- und Institutionsebene gestärkt werden. Außerdem sollte sie die Einrichtung besonderer Verfahren beinhalten, mit denen Unstimmigkeiten zwischen Dienststellen an die ABM-Lenkungsgruppe eskaliert werden können. Auch der Haushaltsprozess und die Kostenkontrolle sollten gestärkt werden.

Geteilte Mittelverwaltung

Einen Schwerpunkt der Prüfungen des IAS bildeten die Aufsichtspflichten der Generaldirektionen für die wichtigen Politikbereiche Landwirtschaft, Fischerei und Kohäsion. Geprüft wurden auch die Anlaufphasen der mehrjährigen Prüfstrategien der jeweiligen Generaldirektion für den Programmplanungszeitraum 2007-2013.

Im Bereich der Landwirtschaft befasste sich eine Prüfung schwerpunktmäßig mit Rückzahlungen von Direkthilfen an die Mitgliedstaaten und mit der Überwachung der Einführung des integrierten Verwaltungs- und Kontrollsystems in bestimmten Mitgliedstaaten, in denen schwer wiegende Defizite festgestellt worden waren, sowie in einem Kandidatenland. Der IAS kam zu dem Schluss, dass Zahlungen an die Mitgliedstaaten ordnungsgemäß eingeleitet, geprüft und genehmigt werden und dass die Einführung des integrierten Verwaltungs- und Kontrollsystems in den besuchten Ländern in den letzten Jahren intensiv von der Kommission überwacht worden war. Hinsichtlich der Entwicklung des ländlichen Raums stellte der IAS fest, dass das vorhandene interne Kontrollsystem hinreichende Gewähr dafür bietet, dass die für den Programmplanungszeitraum 2007-2013 des Europäischen Landwirtschaftsfonds für die Entwicklung des ländlichen Raums (ELER) festgelegten Geschäftsziele erreicht werden. Jedoch könnte die interne Koordinierung weiter verbessert werden, um sicherzustellen, dass alle einschlägigen Informationen zu den Prüfungsergebnissen den für die Entwicklung des ländlichen Raums zuständigen Stellen in den geografischen Regionen systematisch zur Verfügung gestellt werden und dass diese Informationen regelmäßig eingesehen werden.

Hinsichtlich des Europäischen Fischereifonds hat der IAS der GD MARE empfohlen, den bestehenden Prozess zur Überwachung der Einführung in den Mitgliedstaaten zu stärken und eine verbesserte Dokumentation bereitzustellen. Die GD MARE sollte einen detaillierten Prüfungsplan ausarbeiten und gemeinsam mit der GD REGIO und der GD EMPL dokumentierte Arbeitsmodalitäten festlegen, wenn die Generaldirektionen mit denselben nationalen Prüfbehörden arbeiten. Der IAS empfahl weiter, die GD MARE solle Verfahren zur Betrugsbekämpfung und –aufdeckung in ihre Prüfstrategie aufnehmen.

Im Bereich der Kohäsion untersuchte der IAS die Kontrollen der Verwaltungs- und Kontrollsysteme durch die GD REGIO und die GD EMPL, die die Mitgliedstaaten für den Programmplanungszeitraum 2007-2013 angekündigt hatten. Der IAS kam zu dem Ergebnis, dass die Kontrollen zwar wie geplant stattfanden, der Prozess aber durch Verzögerungen beeinträchtigt wurde, die von den Dienststellen der Mitgliedstaaten verursacht wurden. Der IAS meldete Bedenken hinsichtlich der Qualität der auf Ebene der Mitgliedstaaten bereitgestellten Informationen an und empfahl den Generaldirektionen, diese Informationen in der nächsten Phase des Testierungsprozesses einem Follow-up-Audit zu unterziehen. Der IAS teilt die Auffassung des Europäischen Rechnungshofes, dass in dieser frühen Phase des Programmplanungszeitraums noch nicht der Schluss gezogen werden kann, dass die Fehlerquote von Zahlungen auf Ebene der Endbegünstigten durch Änderung der Vorschriften und der Überwachungssysteme gesenkt werden konnte. Die Prüfungen machten deutlich, dass die Generaldirektionen ihre eigenen Prüfstrategien detaillierter ausformulieren müssen – insbesondere in der Frage, inwieweit sie die von den Mitgliedstaaten bei ihrer Prüftätigkeit ermittelten Ergebnisse berücksichtigen. Hier besteht Potenzial für eine bessere Koordinierung des Prüfungsansatzes zwischen der Kommission und den Mitgliedstaaten oder auch für gemeinsame Prüfungen. Dies gilt insbesondere dann, wenn dieselben nationalen Prüfbehörden Gegenstand unterschiedlicher Prüfungen sind.

Anlagenverwaltung

Eine Prüfung des vom OIB verwalteten Bestandsaufnahmeprozesses (mit Ausnahme der zentralen Verwaltung der IT-Ressourcen) ergab, dass die Rechtsgrundlage veraltet war und keine hinreichenden Belege dafür vorlagen, dass die vorgeschriebenen regelmäßigen Bestandsprüfungen konsequent durchgeführt worden waren. Der IAS machte deutlich, dass einer Klärung der Aufgaben und Verantwortlichkeiten, der Dokumentation der Verfahren und der Koordinierung als Voraussetzungen für einen wirksamen Ablauf große Bedeutung zukommt.

Die wichtigsten Ergebnisse der Prüfung, der das Projekt „Supply and Assets Management“ (SAM) unterzogen wurde, sind im Abschnitt „Fragen der Informationstechnik (IT)“ zusammengestellt.

Externe Politikbereiche

Die Prüfung der Mittel für die Gemeinsame Außen- und Sicherheitspolitik (GASP) ergab, dass die Kommission aufgrund der Aufteilung der Verantwortlichkeiten zwischen Kommission und Rat nur in begrenztem Maße auf die operative Umsetzung und operative Leistungsfähigkeit der GASP-Maßnahmen Einfluss nehmen kann. Der IAS konnte keine hinreichende Gewähr für die Zuverlässigkeit der Verwaltung der GASP-Mittel erlangen und empfahl daher, die Kommission solle sicherstellen, dass die rechtlichen Anforderungen für Ex-ante-Bewertungen in vollem Umfang erfüllt werden. Bezüglich der während der Anlaufphase und der Durchführung der GASP-Maßnahmen festgestellten Verzögerungen könnte gemeinsam mit dem Rat Abhilfe geschaffen werden, indem verbesserte Leitlinien (Verfahrenshandbücher), standardisierte Verfahren sowie entsprechende Instrumentarien vorgegeben werden. Wie der IAS feststellte, besteht bei nichtmilitärischen GASP-Missionen zur Krisenbewältigung das Risiko einer unzulänglichen Mittelausschöpfung von erheblichem Ausmaß. Außerdem erachtet es der IAS für notwendig, eine Strategie für Vor-Ort-Missionen sowie harmonisierte Berichts- und zeitgerechte Abschlussverfahren zu entwickeln.

Bei einer Prüfung des Finanzmanagements für das Nahrungsmittelhilfeprogramm wurde hinreichende Gewähr erlangt, dass die vorgegebenen Ziele erreicht werden können. Prüfungen der Nachbarschaftspolitik sowie Abschlussprüfungen für CARD und PHARE führten zu Empfehlungen, wie die Kontrollen verbessert werden können, und machten die Risiken deutlich, die mit der hohen Personalfluktuation verbunden sind.

Follow-up der Empfehlungen früherer Prüfungen

Die geprüften Dienststellen stellen Aktionspläne auf, um die Empfehlungen des IAS anzugehen. Die Umsetzung wird mittels „Issue Track“ verfolgt und im Rahmen von Follow-up-Audits kontrolliert.

Von den 34 Follow-up-Audits, die 2009 abgeschlossen wurden, bestätigten 24, dass alle in den ursprünglichen Auditberichten ausgesprochenen Empfehlungen umgesetzt wurden. Weitere 6 Follow-up-Audits kamen zu dem Ergebnis, dass nur eine Empfehlung noch nicht in vollem Umfang umgesetzt worden war.

Bei der Rate der insgesamt umgesetzten IAS-Empfehlungen war eine weitere Verbesserung zu verzeichnen. Aus der jüngsten Statistik (Stand 29. Januar 2010) geht hervor, dass 26 % der noch umzusetzenden „sehr wichtigen“ Empfehlungen (41 von 159) mehr als sechs Monate überfällig waren, während es im Vorjahr laut Bericht noch 29 % waren.

Schlussfolgerungen

Auf der Grundlage der 2009 durchgeführten Audits und der damit verbundenen Tätigkeiten lassen sich folgende Schlussfolgerungen ziehen:

Schlussfolgerung 1: Trotz erzielter Fortschritte sind weitere Verbesserungen notwendig

Der IAS hat festgestellt, dass sich das interne Kontrollumfeld der Kommission im Zuge der Bemühungen um eine uneingeschränkte Zuverlässigkeitserklärung kontinuierlich verbessert hat. Allerdings wies der IAS auch darauf hin, dass verschiedene Aspekte des Finanzmanagements weiter verbessert werden müssen:

- Geteilte Mittelverwaltung:

- Was die Verwaltung von Finanzhilfen aus der Schengen-Fazilität II betrifft, ergibt sich die Notwendigkeit, die Risikoprofile genauer zu definieren und die Abschlussprüfungen entsprechend anzupassen, obwohl eine Vertragsverlängerung gewährt und eine Neuaufteilung der Mittel zwischen Schengen-Anteil und Cashflow beschlossen wurde. Die GD JLS muss zudem die Ausführung des Haushaltsplans genau überwachen.

- Die allgemeine Koordinierung der Prüfstrategien durch die für die Verwaltung der Politik der Strukturfonds zuständigen Kommissionsdienststellen sollte verbessert werden, um so die Abdeckung gemeinsamer Prüfbehörden zu verbessern. Die Ergebnisse der 2009 begonnenen Untersuchung zur Überprüfung der Arbeit der Prüfbehörden geben der Kommission die Möglichkeit, sich auf die vorgelegten Stellungnahmen zu verlassen und in der Folge die Zahl der eigenen Vor-Ort-Prüfungen zu reduzieren.

- Direkte Mittelverwaltung:

- Im Zusammenhang mit dem Bestandsaufnahmeprozess wurde die Rechtsgrundlage überarbeitet; die Kontrollanforderungen müssen vom OIB in vollem Umfang umgesetzt werden.

- Ungeachtet der Stärken ihrer Beratenden Gruppe für das Öffentliche Auftragswesen muss der Beschaffungsablauf der GFS grundlegend verbessert werden. Dies gilt insbesondere für die Dokumentation der Ausnahmen, die Planung, die Qualität der Ex-post-Kontrollen und die für die Unzugänglichkeit des Marktes vorgelegten Begründungen.

- Im Bereich der Forschung wurde auf die Notwendigkeit hingewiesen, eine Strategie für die Betrugsaufdeckung und -bekämpfung zu konzipieren und die Leitlinien für die Durchführung von Prüfungen der finanziellen Leistungsfähigkeit zu verbessern. Allerdings wurde bereits eine Reihe von Verbesserungen an den internen Kontrollsystemen für die Verwaltung des Siebten Rahmenprogramms vorgenommen (z. B. hinsichtlich des Gleichgewichts zwischen Ex-ante- und Ex-post-Kontrollen und hinsichtlich der Ausarbeitung eines Verfahrens für die Verwaltung der Garantiefonds).

- Indirekte zentrale Mittelverwaltung – Umsetzung der GASP-Maßnahmen. Fortschritte wurden bei den Anforderungen, die Missionen im Rahmen der Gemeinsamen Sicherheits- und Verteidigungspolitik (GSVP) hinsichtlich der indirekten zentralen Mittelverwaltung erfüllen müssen, bei der Vorbereitung, Unterstützung und Überwachung von GSVP-Missionen und beim Abschlussverfahren für GSVP-Verträge erzielt. Allerdings muss die GD RELEX weitere Maßnahmen umsetzen, damit die Anforderungen der indirekten zentralen Mittelverwaltung (Bewertung auf der Basis von sechs Säulen gemäß Artikel 56 der Haushaltsordnung) in vollem Umfang erfüllt werden. Darüber hinaus müssen Leitlinien und Methoden entwickelt werden, die die Beurteilung von nichtmilitärischen GSVP-Missionen zur Krisenbewältigung und die Einrichtung von Finanzmanagementsystemen für Missionen ermöglichen. Schließlich müssen die Ex-post-Kontrollen der Missionen gestärkt werden.

Nach Ansicht des IAS muss ein Überblick auf Institutionsebene gegeben sein, damit die gesamte Institution durch allgemeine Prozesse wie eine Risikoanalyse und Maßnahmen zur Gewährleistung der Betriebskontinuität wirksam geschützt werden kann. Ein solcher Überblick wird auch benötigt, um in IT-Systeme getätigte Investitionen nach dem Grundsatz der wirtschaftlichen Haushaltsführung zu verwalten, indem Skaleneffekte ausgeschöpft und allgemeine Lösungen für allgemeine Anforderungen bereitgestellt werden.

Der IAS empfiehlt, geeignete Gremien damit zu beauftragen, für diesen Überblick Sorge zu tragen und geeignete Empfehlungen zu formulieren, dabei aber an klaren Zuständigkeiten für die Durchführung der einzelnen Prozesse festzuhalten.

Die Kommission vertritt die Auffassung, dass ein Überblick auf Institutionsebene für bestimmte Prozesse bereits gegeben oder geplant ist. Beispiele sind der Ausschuss für Folgenabschätzung, die ABM-Lenkungsgruppe, das Internal Control Correspondents Network oder das Peer-Review der jährlichen Tätigkeitsberichte sowie ein breites Spektrum von Netzwerken, Workshops und Online-Unterstützungsfunktionen für Dienststellen in diesen Bereichen.

Außerdem ist die Kommission der Ansicht, dass die Verantwortungsbereiche der Generaldirektoren und Dienststellenleiter ihre klare Abgrenzung einbüßen würden, wenn Verantwortlichkeiten dieser Art den zentralen Dienststellen übertragen würden.

Schlussfolgerung 2: Risikomanagement

Der IAS stellte fest, dass Fortschritte erzielt wurden, seit 2005 ein Risikomanagementrahmen eingeführt worden ist. Allerdings vertrat er die Auffassung, dass dieser Rahmen besser in die Verwaltungsprozesse der einzelnen Dienststellen integriert werden müsse. Mit dieser Integration sollten ein besserer Überblick über Querschnittsrisiken und verbesserte Leitlinien auf zentraler Ebene einhergehen.

Die zentralen Dienststellen konnten diese Empfehlung nicht in allen Teilen akzeptieren, da nach ihrer Auffassung bestimmte Teile nicht mit dem Governance-Rahmen der Kommission in Einklang stehen. Die Kommission ist der Ansicht, dass die zentralen Dienststellen innerhalb des jetzigen Governance-Rahmens bereits einen Überblick über die Querschnittsrisiken bieten und Leitlinien für den Risikomanagementrahmen und die Umsetzung des Risikomanagements bereitgestellt haben.

Schlussfolgerung 3: Betriebskontinuität auf Institutionsebene

Die Prüfung des IAS ergab, dass die Kommission nicht in ihren Bemühungen nachlassen darf, die Betriebskontinuität auch bei schwer wiegenden Störfällen zu gewährleisten, und zwar insbesondere durch eine umfassendere Lenkung, Koordinierung und Kontrolle der Wiederherstellung kritischer Tätigkeiten. Die Kommission teilt diese Auffassung.

Schlussfolgerung 4: IT-Ansatz auf Institutionsebene

Der IAS hat die Notwendigkeit deutlich gemacht, die strategische Entscheidungsfindung im IT-Bereich und die Prozesse für die Verwaltung von IT-Projekten weiter zu stärken, um sicherzustellen, dass IT-Projekte auf die Ziele der Kommission abgestimmt werden, ein gutes Preis-Leistungs-Verhältnis aufweisen und fristgerecht umgesetzt werden. Die Kommission schließt sich dieser Analyse an.

Abschließende Anmerkungen

Der Interne Auditdienst hat seinen strategischen Prüfungsplan für den Zeitraum 2010-2012 im April 2010 vorgelegt. Ziel des IAS ist es, die wichtigsten ermittelten Risiken zu behandeln und die notwendige Abdeckung zu erzielen, damit die Abgabe der allgemeinen Stellungnahme zum Finanzmanagement durch den Internen Prüfer unterstützt werden kann.

[1] Einige der Anfang 2009 abgeschlossenen Berichte sind bereits in den Jahresbericht 2008 eingeflossen und wurden daher im Jahresbericht 2009 nicht erneut berücksichtigt. Einige der 2009 erstellten Berichte, die erst Anfang 2010 fertiggestellt wurden, sind hingegen in diesen Bericht eingeflossen.

[2] KOM(2010) 281 vom 25. Mai 2010.

[3] Aufträge der Kategorie C1 sind im Jahresverlauf zu erfüllen.

[4] Aufträge der Kategorie C2 dürfen im Folgejahr fortgeführt werden. Dies gilt insbesondere, wenn die Umsetzung der Aktionspläne nicht weit genug fortgeschritten ist, um ein Follow-up zu rechtfertigen, oder wenn es beim Gegenstand der Prüfung zu einer Verzögerung kommt.

[5] Systeme, die von einer Vielzahl von Benutzern außerhalb der zuständigen Generaldirektion genutzt werden.