[pic] | COMISIÓN EUROPEA |

Bruselas, 31.8.2010

COM(2010) 447 final

INFORME DE LA COMISIÓN AL PARLAMENTO EUROPEO Y AL CONSEJO

Informe anual a la autoridad encargada de la aprobación de la gestiónsobre las auditorías internas llevadas a cabo en 2009(Artículo 86, apartado 4, del Reglamento Financiero)

SEC(2010) 994

ÍNDICE

1. Introducción 3

1.1. La misión del SAI: independencia, objetividad y responsabilidad 3

2. Entorno de trabajo y plan de auditoría 4

2.1. El proceso de auditoría interna 4

2.2. Aplicación del plan estratégico de auditoría del SAI 4

2.3. Aceptación de las recomendaciones y percepción del trabajo del SAI 4

3. Principales observaciones y recomendaciones del SAI 5

4. Conclusiones 10

INTRODUCCIÓN

El presente informe tiene como objetivo poner en conocimiento de la autoridad responsable de aprobar la gestión el trabajo llevado a cabo por el Servicio de Auditoría Interna de la Comisión (SAI), de conformidad con el artículo 86, apartado 4, del Reglamento Financiero. Se basa en el informe del SAI, con arreglo al artículo 86, apartado 3, del Reglamento Financiero, sobre los principales resultados de las auditorías y, de conformidad con las Normas para el Ejercicio Profesional de la Auditoría Interna, en las cuestiones relevantes relativas a la exposición al riesgo y el control, así como en cuestiones de gobierno de las empresas.

El informe se basa en informes de auditoría y consultoría del SAI finalizados en 2009[1] en los servicios de la Comisión y agencias ejecutivas. No cubre los resultados de los trabajos de auditoria de otras agencias u organismos auditados por el SAI, para los que se elabora un informe separado.

La respuesta de la Comisión a las observaciones y conclusiones del auditor interno figuran en el informe de síntesis[2], en el que la Comisión toma posición en relación con las cuestiones transversales planteadas por el SAI, el Tribunal de Cuentas Europeo (TCE) y la autoridad responsable de aprobar la gestión, así como por el Comité de Seguimiento de las Auditorías y por las propuestas de revision trienal del Reglamento Financiero.

La misión del SAI: independencia, objetividad y responsabilidad

La misión del SAI es contribuir a una gestión rigurosa en la Comisión Europea mediante una auditoría de los sistemas internos de gestión y control de la Comisión y de las agencias ejecutivas y reguladoras, a fin de evaluar su eficacia de cara a conseguir una continua mejora.

El SAI está bajo la autoridad del Comisario responsable de la auditoría, y responde ante el Comité de Seguimiento de las Auditorías (CSA).

El SAI lleva a cabo su misión de acuerdo con el marco internacional de las prácticas profesionales del Instituto de Auditores Internos (IAI), y el auditor interno ha declarado su independencia organizativa al Comité de Seguimiento de las Auditorías.

La instancia especializada en materia de irregularidades financieras (FIP) no ha señalado ningún problema sistémico en 2009 en aplicación del artículo 112 de las normas de desarrollo del Reglamento Financiero.

ENTORNO DE TRABAJO Y PLAN DE AUDITORÍA

El proceso de auditoría interna

El SAI coopera con el TCE y las estructuras de auditoría interna (IAC) con el fin de coordinar la planificación de las auditorías, la entrega regular de informes de auditoría y el intercambio de metodologías, así como de compartir las oportunidades de formación.

El SAI y las IAC comparten una definición común del universo de auditoría y de la metodología para la evaluación de riesgos. La red de las IAC, presidida por el SAI (Audinet), sigue constituyendo una plataforma eficaz para armonizar el enfoque de auditoría interna en el seno de la Comisión.

La Comisión ha establecido un programa de formación profesional de los auditores internos que incluye un curso sobre la prevención del fraude, desarrollado por la OLAF.

Aplicación del plan estratégico de auditoría del SAI

El plan estratégico de auditoría del SAI 2007-2009 fue actualizado en 2009 con el fin de tener en cuenta los resultados de la evaluación anual de los riesgos de gestión y otros cambios registrados en los entornos interno y externo (por ejemplo, cambios en la actividad, operaciones, programas, sistemas y controles de la organización).

Al final del ciclo de planificación 2007-2009, los sistemas de control interno de la Comisión, que cubren el 56 % del universo de auditoría financiera (66 % de los compromisos presupuestarios de 2009), deberán haber sido objeto de una auditoría por parte del SAI o de las IAC. La cobertura final alcanzada se calculará una vez que todas las IAC hayan transmitido las cifras actualizadas. El SAI ha llevado también a cabo un número determinado de auditorías en el ámbito no financiero (por ejemplo, sobre la continuidad de las operaciones y la gestión de los riesgos).

En 2009, el SAI completó el 87 % de su programa de trabajo, lo que representa el 100 % de los compromisos C1[3] y el 66 % de los compromisos C2[4]. En total, se entregaron 67 informes (34 informes de auditoría, 32 informes de seguimiento y un informe consultivo). En anexo se incluye una lista completa.

Aceptación de las recomendaciones y percepción del trabajo del SAI

En 2009, el porcentaje de aceptación de las recomendaciones de auditoría por parte de las entidades auditadas fue del 98,8 %.

[pic]

* Todas las recomendaciones fueron aceptadas, salvo dos «muy importantes» y una «importante».

El grado de satisfacción de las entidades auditadas sobre las auditorías individuales arrojó una puntuación media de 1,71, en una escala de 1 (más alto) a 4 (más bajo), frente a un 1,74 en 2008 y un 1,86 en 2007. Según una encuesta efectuada a principios de 2010, el 78,8 % de las partes interesadas estiman que el SAI presenta y comunica una visión clara en el ámbito de la gobernanza y del control interno, el 90 % considera que las auditorías se han llevado a cabo de forma honesta, objetiva y justa, y el 76,3 % opina que las recomendaciones del SAI son de una utilidad directa (frente al 61,5 % en 2008 y el 48,8 % en 2007). En conjunto, el 90 % estima que el trabajo del SAI contribuye a la calidad de los sistemas de control y de gestión en la Comisión y en sus agencias ejecutivas.

PRINCIPALES OBSERVACIONES Y RECOMENDACIONES DEL SAI

Continuidad de las actividades

La pertinencia y la eficacia de la gestión de la continuidad de las actividades ( Business Continuity Management – BCM) se evaluó en cuatro servicios. Éstos reconocieron que la gestión de la continuidad es un proceso evolutivo que no ha alcanzado aún su velocidad de crucero. Desde 2006 se han realizado esfuerzos significativos para desarrollarla, aplicarla y mejorarla. Sin embargo, el SAI estimó que es necesario mejorar la visión de conjunto de la institución y reforzar la orientación general. El SAI recomendó que la responsabilidad de emitir estas recomendaciones se confiase a un órgano adecuado de supervisión o dirección. El servicio horizontal encargado de la gestión de la continuidad debería suministrar más información sobre el modo de realizar un análisis del impacto basado en una evaluación de los riesgos, cómo reforzar la coordinación de las cuestiones transversales e interdependientes y cómo mejorar la planificación de la continuidad de las actividades. Es necesario contar con una visión global, a nivel institucional, de la planificación de la continuidad de las actividades por parte de los servicios. Para garantizar esta visión general, es preciso elaborar una lista completa de las actividades críticas. Los planes deberán someterse a pruebas regulares en la práctica y deberá establecerse un programa institucional de ejercicios de gestión de la continuidad que incluya ejercicios de simulación periódicos obligatorios.

Gestión de los riesgos

El actual marco de gestión de los riesgos data de 2005. Va acompañado de un plan de acción a aplicar entre 2005 y 2007. El contrato de auditoría ejecutado en 2009 en dos servicios horizontales y dos servicios operativos evaluó tanto la pertinencia del marco de gestión de los riesgos como la eficacia de su aplicación.

La auditoría confirmó que el marco de gestión de los riesgos de la Comisión se adapta a las normas internacionales de referencia, por ejemplo al modelo COSO-Enterprise Risk Management, y que constituye una base sólida para la gestión de los riesgos.

El SAI recomendó un refuerzo significativo del papel de los servicios centrales con el fin de tener una percepción efectiva de la aplicación de la gestión de los riesgos en la Comisión y de garantizar que los riesgos horizontales se tengan plenamente en cuenta y que los riesgos que penden sobre la institución en su conjunto se identifiquen correctamente. Aconsejó a los servicios centrales que promovieran las mejores prácticas en el ámbito de la gestión de los riesgos, analizasen los riesgos críticos comunicados por las DG, así como las respuestas de gestión asociadas, y que enviaran una versión consolidada al Colegio.

Para mejorar la gestión y la elaboración de informes es necesario aclarar conceptos clave (como la evaluación de los riesgos críticos tanto a nivel inherente como residual) y de las líneas directrices suplementarias (como la aplicación del concepto de tolerancia a los riesgos y la toma en consideración de los riesgos derivados de la dependencia de socios externos).

Las DG operativas deberán reforzar su gestión de los riesgos y hacer de ella un instrumento eficaz integrado en su proceso de gestión.

Gestión de la contratación pública y de las subvenciones

Se han llevado a cabo tres nuevas auditorías y cinco seguimientos de auditorías sobre la gestión de la contratación pública y de las subvenciones en las políticas internas.

Por lo que se refiere a los procedimientos de contratación pública del Centro Común de Investigación (CCI), existen riesgos inherentes derivados de su estructura descentralizada y de la especificidad de sus actividades. Una exposición específica al riesgo se deriva del tratamiento de materiales nucleares y del funcionamiento de instalaciones de investigación nuclear. El SAI aconsejó mejoras en el proceso de planificación de licitaciones, la documentación de los expedientes de licitación, los controles ex post, la orientación y el seguimiento de las excepciones.

Por lo que se refiere a las subvenciones concedidas por la DG ESTAT, se propuso reforzar las evaluaciones ex ante para los proyectos de gran envergadura, reforzar la evaluación durante la fase de preparación del proceso de concesión y simplificar la base utilizada para el cálculo de los costes que corresponden a la Comisión.

Por lo que se refiere a las subvenciones concedidas en el marco del instrumento de Schengen, se propuso mejorar la calidad de los informes de actividad anuales de JLS incluyendo un resumen de los controles clave realizados en los programas ejecutados mediante gestión descentralizada y presentando los principales indicadores de resultados que confirman la legalidad y la regularidad de las operaciones subyacentes. Se constató que la base jurídica de las comprobaciones efectuadas en el marco del instrumento de Schengen no era lo suficientemente clara. El bajo índice de ejecución del «instrumento Schengen 2» en Bulgaria y Rumania hizo que en el momento de la auditoría no se hubieran llevado a cabo o estuvieran retrasadas actividades esenciales para la mejora de la eficacia de los controles en las fronteras exteriores de la UE. También existía el riesgo de que Bulgaria no aplicara plenamente el presupuesto previsto para el «instrumento Schengen 2». La DG JLS debería reforzar el seguimiento de los progresos en este país mediante un plan de acción elaborado de acuerdo con las autoridades de dicho Estado miembro y prever un plan que limite la pérdida de dotaciones en caso de no ejecución de las acciones.

En relación con la concepción de los controles del 7º Programa Marco de Investigación (7PM) por parte de la DG Investigación, el SAI aconsejó mejorar las estrategias de control. Si bien se reconoce que el marco legislativo hace hincapié en la simplificación y la reducción de los controles ex ante sobre los beneficiarios, las auditorías han revelado la necesidad de llegar a un equilibrio eficaz entre las medidas preventivas y los controles ex post. El SAI aconsejó la realización de controles más selectivos y, llegado el caso, basados en los riesgos, y la elaboración de estrategias claras en materia de prevención y detección de los fraudes. Los mecanismos de sanción previstos por los reglamentos deben aplicarse también en la práctica con el fin de garantizar su efecto disuasorio.

Agencias ejecutivas

Se realizaron dos auditorías al presupuesto operativo delegado a las agencias ejecutivas, y dos auditorías de seguimiento a las agencias ejecutivas. Conviene velar con especial atención por que la transferencia de tareas entre las DG y las agencias ejecutivas creadas recientemente se haga de forma clara y organizada y que se establezca de forma precisa la división de tareas. El SAI recomendó establecer un protocolo de acuerdo entre las DG y las agencias ejecutivas correspondientes, así como una estrategia clara y formalizada en cada DG para el seguimiento y la aprobación de la gestión de la agencia ejecutiva por lo que se refiere a los gastos operativos.

Tras realizar ambas auditorías, se recomendó la creación de un sistema global integrado de gestión de la información con el fin de mejorar la capacidad de seguimiento y de información sobre los programas gestionados por las agencias ejecutivas.

El SAI aconsejó a la Agencia Ejecutiva de Competitividad e Innovación (AECI) que sometiera a ensayo su plan de continuidad de las operaciones con el fin de garantizar la eficacia de su ejecución. También observó que el hecho de limitar el acceso a los sistemas informáticos y a los servicios de seguridad de la Comisión podría tener una incidencia negativa en la continuidad de las actividades de las agencias ejecutivas debido a su fuerte dependencia de algunos de estos sistemas.

Cuestiones relativas a las tecnologías de la información (TI)

A petición del CSA se han emitido dos cartas de recomendaciones en las que se resumen los puntos más destacados de las auditorías de los últimos años sobre los grandes sistemas informáticos y sobre los sistemas informáticos institucionales[5].

Para los grandes proyectos de TI , se destacaron los puntos siguientes: reforzar los procedimientos de gestión de los riesgos informáticos mediante una evaluación regular y detallada de los riesgos; desarrollar y aplicar una metodología formalizada de gestión para los grandes proyectos de TI; controlar de forma más estrecha las prestaciones y la calidad de los contratistas de TI; y poner en pie un procedimiento completo y formalizado para gestionar las evoluciones de los sistemas de TI. Es importante que se disponga de una planificación de las licitaciones de TI y de una política de suministro adecuada para evitar la dependencia técnica o la interrupción del servicio en caso de cambio de prestador de servicios. Conviene reforzar la supervisión, a nivel de la institución, con el fin de supervisar los principales progresos informáticos.

Los grandes sistemas informáticos y los sistemas informáticos de gestión tienen los siguientes riesgos: no-conformidad con las normas aplicables a la gobernanza informática de la institución, incapacidad para dar los resultados esperados a tiempo y dentro de los límites del presupuesto; insatisfacción de los usuarios; utilización ineficaz de los recursos; menoscabo de la reputación de la institución.

Otros factores de riesgo se han detectado para los sistemas informáticos de gestión , relacionados principalmente con la necesidad de una gobernanza adecuada a nivel central y local: orientación y supervisión de la institución inadecuadas por lo que se refiere a la evolución de los sistemas de TI; acuerdos de gobernanza poco precisos; inadecuada participación de las partes interesadas en los procesos de toma de decisiones y distribución inadecuada de los costes generados por la ejecución de los proyectos informáticos. Si estos riesgos se concretaran, podrían poner en peligro la aplicación de una estrategia coherente y eficaz de la Comisión en materia de TI y obstaculizar la realización de los objetivos del proyecto. La Comisión corre el riesgo de no utilizar de forma eficaz recursos humanos y presupuestarios importantes.

El SAI recomendó que se designara a un órgano adecuado la definición de la estrategia y prioridades de la Comisión en materia de TI a medio y largo plazo y que se encargara de esa misión el Grupo Director de la Gestión por Actividades, que controlaría su aplicación efectiva. Dichas prioridades en materia de TI, que deberían fijarse para sistemas financiados a la vez mediante créditos operativos y administrativos, deberían constituir la base de las estrategias individuales de cada DG en este ámbito («schémas directeurs») y de los procedimientos de dotación presupuestaria y de aprobación de la gestión presupuestaria. Las responsabilidades en materia de gestión de los sistemas informáticos institucionales deberían definirse mejor y el proceso de decisión correspondiente debería reforzarse regulando la participación de los principales agentes implicados. Debería reforzarse la actual estructura de gobernanza a nivel de proyecto, del ámbito y de la institución, y debería incluirse la definición de procedimientos específicos para conseguir que los desacuerdos entre los servicios lleguen hasta el Grupo Director de la Gestión por Actividades. El procedimiento presupuestario y el control de los gastos también deberían reforzarse.

Gestión compartida

Las auditorías del SAI se centraron en la responsabilidad de supervisión de las DG en los principales ámbitos de acción, que son la agricultura, la pesca y la cohesión, lo que incluía auditorías de las fases de puesta en marcha de las estrategias de control plurianuales de las distintas DG para el periodo de programación 2007-2013.

En el ámbito de la agricultura, una auditoría se centró en las restituciones de ayudas directas a los Estados miembros y en el seguimiento de la aplicación del sistema integrado de gestión y de control (SIGC) en Estados miembros específicos en los que se habían detectado serias deficiencias, así como en un país candidato. El SAI llegó a la conclusión de que la iniciación, verificación y autorización de pagos a los Estados miembros funcionaba de forma satisfactoria y que, estos últimos años, la Comisión controló muy de cerca la aplicación del SIGC en los países examinados. En relación con el desarrollo rural, el SAI estimó que el sistema de control interno existente permite una fiabilidad razonable por lo que se refiere a la realización de los objetivos de la institución fijados para el período de programación 2007-2013 del FEADER. No obstante, la coordinación interna podría mejorarse con el fin de garantizar que la información pertinente sobre los resultados de auditoría se envíe sistemáticamente a las unidades geográficas de desarrollo rural, y que esta información se consulte regularmente.

Por lo que se refiere al Fondo Europeo de la Pesca, el SAI recomendó a la DG MARE que reforzara los procedimientos existentes de control de la aplicación en los Estados miembros y que mejorara la calidad de la documentación que suministra. La DG MARE debería adoptar un plan de auditoría detallado y definir modalidades documentadas de organización del trabajo con la DG REGIO y la DG EMPL cuando trate con las mismas autoridades nacionales de auditoría. El SAI también recomendó que incluyera en su estrategia de auditoría procedimientos de detección y de prevención del fraude.

En el ámbito de la cohesión, el SAI examinó los controles llevados a cabo por la DG REGIO y la DG EMPL sobre los sistemas de gestión y de control anunciados por los Estados miembros para el periodo de programación 2007-2013. El SAI se mostró preocupado por la calidad de la información suministrada por los Estados miembros y recomendó a las DG que llevaran a cabo un seguimiento durante la próxima etapa del proceso de obtención de una garantía. El SAI, al igual que el TCE, opina que el periodo de programación no está lo suficientemente avanzado como para concluir que los cambios de normas y de sistemas de supervisión han llegado a reducir el número de errores en los pagos a nivel del beneficiario final. Las auditorías han subrayado la necesidad de que las DG definan sus propias estrategias de auditoría de forma más explícita, en particular en la medida en que tengan en cuenta los resultados del trabajo de auditoría de los Estados miembros. Es posible adoptar un enfoque de auditoría mejor coordinado entre la Comisión y los Estados miembros, o incluso realizar auditorías comunes, principalmente cuando las distintas auditorías se refieren a las mismas autoridades nacionales de auditoría.

Gestión de activos

Una auditoría del proceso de inventario gestionado por la OIB (excluido el centro de gestión del equipamiento informático) demostró que la base jurídica había quedado obsoleta y que no había pruebas suficientes para demostrar que los controles periódicos de inventario requeridos se han llevado siempre a cabo. El SAI subrayó que la clarificación de las funciones y responsabilidades y la documentación de los procedimientos y de la coordinación eran condiciones previas importantes para la eficacia del proceso.

Los principales resultados de la auditoría llevada a cabo sobre el proyecto «Supply and Assets Management (SAM)» se resumen en la sección dedicada a las cuestiones relacionadas con las TI.

Políticas exteriores

La auditoría del presupuesto de la Política Exterior y de Seguridad Común (PESC) demostró que, debido al reparto de responsabilidades con el Consejo, la Comisión sólo tiene una influencia limitada en la aplicación y la capacidad operativas de las acciones de la PESC. El SAI no ha podido obtener garantías suficientes en relación con la gestión del presupuesto de la PESC. Recomendó a la Comisión que garantice el respeto total de los requisitos jurídicos relativos a las evaluaciones ex ante. Sería posible remediar los retrasos observados en la puesta en marcha y aplicación de las acciones de la PESC, en cooperación con el Consejo, mejorando los elementos de orientación (manuales de procedimiento), normalizando los procedimientos y dotándose de un conjunto de instrumentos. El SAI detectó un riesgo significativo de infrautilización de los fondos de las misiones civiles de gestión de crisis de la PDSC e indicó que era necesario establecer una estrategia para las misiones sobre el terreno, armonizar los informes y cerrar los procedimientos a tiempo.

Una auditoría de la gestión financiera del programa de ayuda alimentaria permitió comprobar que se habían alcanzado los objetivos fijados. Las auditorías sobre la política de vecindad y la clausura de los programas CARD y PHARE brindaron la ocasión de elaborar recomendaciones con vistas a mejorar los controles y a subrayar los riesgos relacionados con una renovación importante del personal.

Seguimiento de las recomendaciones de auditorías anteriores

Los servicios auditados han diseñado planes de acción para aplicar las recomendaciones del SAI. La aplicación de dichos planes es objeto de un seguimiento por «Issue-track» y de una verificación a través de auditorías de seguimiento.

De las 34 auditorías de seguimiento finalizadas en 2009, 24 concluyeron que todas las recomendaciones realizadas en los informes de auditoría iniciales fueron aplicadas y otras seis concluyeron que solamente no se había adoptado plenamente una recomendación.

Se señaló una nueva mejora en el porcentaje global de aplicación de las recomendaciones elaboradas en las auditorías internas. Las últimas estadísticas (que datan del 29 de enero de 2010) muestran un retraso en la aplicación superior a los seis meses para el 26 % de las recomendaciones «muy importantes» (41 de 159), frente al 29 % del año anterior.

CONCLUSIONES

Basándose en las auditorías y los trabajos relacionados concluidos en 2009, es posible sacar las siguientes conclusiones:

Conclusión 1: Se han realizado nuevos progresos, pero siguen siendo necesarias mejoras adicionales

El SAI ha podido constatar mejoras constantes en el entorno de control interno de la Comisión, debido a los esfuerzos realizados para lograr una declaración de fiabilidad (DAS) sin reservas. No obstante, el SAI ha observado que son necesarias mejoras adicionales en varios aspectos de la gestión financiera:

- Gestión compartida:

- En relación con la gestión de las subvenciones concedidas en el marco del mecanismo de Schengen II y a pesar de la prórroga de los contratos y de los cambios decididos en relación con la distribución de los fondos entre la parte de Schengen y los flujos de tesorería, deberían definirse mejor los perfiles de riesgo, las auditorías de clausura deberán adaptarse en consecuencia y la DG JLS deberá controlar estrechamente la ejecución presupuestaria.

- Los servicios de la Comisión responsables de las políticas de gestión de los fondos estructurales deben mejorar la coordinación general de las estrategias de auditoría, optimizando la cobertura de las autoridades de auditoría comunes. Los resultados de la encuesta lanzada en 2009 para examinar el trabajo de las autoridades de auditoría permitirán a la Comisión apoyarse en las opiniones recogidas y reducir, por consiguiente, sus propias auditorías sobre el terreno.

- Gestión directa:

- Por lo que se refiere al proceso de inventario, se ha revisado el fundamento jurídico y el OIB deberá aplicar totalmente los requisitos de control.

- A pesar de las cualidades positivas del Grupo Consultivo de Contratación Pública, el proceso de contratación pública del CCI debe mejorarse sensiblemente, principalmente por lo que se refiere a la documentación de las excepciones, la planificación, la calidad de los controles ex post y las justificaciones presentadas en relación con la cautividad del mercado.

- En el ámbito de la investigación, la atención se centró en la necesidad de diseñar una estrategia de detección y prevención del fraude y de mejorar las orientaciones relativas a la realización de las verificaciones de la viabilidad financiera. No obstante, ya se han registrado algunos avances en los sistemas de control interno para la gestión del séptimo programa marco de investigación (por ejemplo, el equilibrio entre los controles ex ante y ex post y la puesta a punto de un procedimiento para la gestión de los Fondos de Garantía).

- Gestión centralizada indirecta – ejecución de las acciones PESC: se registraron progresos en relación con los requisitos de la gestión centralizada indirecta que deberán cumplir las misiones de la PESC para la aplicación, el apoyo y el control de dichas misiones, así como para el procedimiento de clausura de los contratos PESC. La DG RELEX deberá llevar a cabo otras acciones para respetar plenamente las exigencias de la gestión centralizada indirecta (evaluaciones en «seis pilares» de acuerdo con el artículo 56 del Reglamento Financiero). Además, deberán desarrollarse orientaciones y metodologías para la evaluación de las misiones civiles de gestión de crisis y elaborarse sistemas de gestión financiera de las misiones. También deberán reforzarse los controles ex post de las misiones.

Según el SAI, es necesaria una visión de conjunto a nivel de la institución para que los procesos comunes, como el análisis de los riesgos y la gestión de la continuidad de las operaciones, puedan proteger eficazmente a la institución en su conjunto. También se hace imperativa una visión de conjunto para garantizar una gestión financiera rigurosa de las inversiones en sistemas de TI gracias a las economías de escala y a la investigación de soluciones comunes a exigencias comunes.

El SAI recomienda que se confíe a los órganos adecuados la responsabilidad de obtener esta visión de conjunto y elaborar recomendaciones adecuadas sin dejar de tener presente la necesidad de no diluir la responsabilidad de la ejecución de cada proceso.

La Comisión estima que esta supervisión a nivel de la institución ya existe o está prevista en el marco de determinados procedimientos, gracias principalmente al Comité de Evaluación del Impacto, o al Grupo Director de la Gestión por Actividades, la red de corresponsales del control interno o la revisión paritaria de los informes anuales de actividad, así como a una amplia gama de redes, talleres y la asistencia en línea a los servicios en estas áreas.

Considera igualmente que cualquier atribución de este tipo de responsabilidad a los servicios centrales diluiría la responsabilidad individual de los Directores Generales y de los jefes de unidad.

Conclusión 2: Gestión de los riesgos

El SAI observó los progresos realizados desde la adopción por parte de la Comisión de un marco de gestión de los riesgos en 2005, pero consideró que su aplicación debería integrarse mejor en los procesos de gestión de cada servicio. Esto debería combinarse con el refuerzo de la visión global de los riesgos horizontales y la mejora de la orientación a nivel central.

Los servicios centrales no han podido aceptar esta recomendación en su totalidad, ya que han considerado que era parcialmente incompatible con el marco de gobernanza de la Comisión. La Comisión considera que en el seno de la estructura de gobernanza actual, los servicios centrales ya suministran una visión global de los riesgos horizontales y de las orientaciones sobre el marco de gestión de los riesgos y de su aplicación.

Conclusión 3: Continuidad de las actividades a nivel de la institución

La auditoría del SAI mostró que la Comisión ha de mantener sus esfuerzos por garantizar la continuidad de las actividades en casos de graves perturbaciones, en particular mediante el refuerzo de la gestión, la coordinación y los ejercicios de recuperación de las actividades críticas. La Comisión comparte este punto de vista.

Conclusión 4: Enfoque relativo a los sistemas de TI a nivel de la institución

El SAI ha demostrado que es necesario reforzar la toma de decisiones estratégica en materia de TI y de los procedimientos de gestión de proyectos informáticos con el fin de garantizar que se ajustan a los objetivos de la Comisión, ofrecen la mejor relación coste-beneficio y se aplican dentro del plazo. La Comisión comparte este análisis.

Observaciones finales

El servicio de auditoría presentó, en abril de 2010, su plan estratégico de auditoría para el periodo 2010-2012. Su objetivo es cubrir los principales riesgos y alcanzar la cobertura necesaria para servir de base al dictamen general del auditor interno sobre la gestión financiera.

[1] Algunos de los informes finalizados a principios de 2009 ya se incluyeron en el informe de 2008 y, por lo tanto, no se han vuelto a incluir en el informe de 2009. Del mismo modo, algunos informes elaborados en 2009, pero finalizados a principios de 2010, se incluyen en el informe de 2009.

[2] COM (2010) 0281 de 25 de mayo de 2010

[3] Los compromisos C1 son los que deben completarse en el plazo de un año.

[4] Los compromisos C2 son los que pueden aplazarse al año siguiente, en particular cuando la aplicación de los planes de acción es insuficiente para justificar una auditoría de seguimiento, o cuando el objeto de la auditoría ha sufrido retrasos.

[5] Sistemas utilizados por un gran número de usuarios fuera de las DG de origen.