El plan inicial de 2020 contenía 43 encargos de auditoría (encargos de auditorías, revisiones y consultoría, pero no de seguimiento), cuya finalización estaba prevista para el 31 de enero de 2021. El plan contenía 37 encargos adicionales que debían iniciarse antes del 31 de enero de 2021 y completarse después de esa fecha. El plan de 2020 se actualizó a mediados de año. El Comité de Seguimiento de las Auditorías tomó en consideración tanto los planes iniciales como los actualizados. En 2020, el Servicio de Auditoría Interna llevó también a cabo evaluaciones exhaustivas de riesgos en las distintas Direcciones Generales y servicios. Sobre la base de los resultados de estas evaluaciones, el auditor interno adoptó el plan estratégico de auditoría 2021-2023 en lo que respecta a la Comisión.

El Servicio de Auditoría Interna no audita los sistemas de control de los fondos de la UE por parte de los Estados miembros. Esas auditorías descienden hasta el nivel de los beneficiarios individuales y son llevadas a cabo por los auditores internos de los Estados miembros, las autoridades de auditoría nacionales, otras Direcciones Generales de la Comisión y el Tribunal de Cuentas Europeo. No obstante, el Servicio de Auditoría Interna sí audita las medidas adoptadas por la Comisión para supervisar y auditar a: i) los organismos de los Estados miembros, y ii) otros organismos encargados de desembolsar fondos de la UE, como las Naciones Unidas. Conforme a lo previsto en el Reglamento Financiero, el Servicio de Auditoría Interna puede desempeñar estos cometidos in situ, también en los Estados miembros.

Los datos son un activo estratégico para una organización del sector público. Las políticas de la UE y la aplicación de los programas de la UE dependen cada vez más de su uso. Los responsables de las políticas se basan en datos cuantificados para tomar decisiones con conocimiento de causa. Los datos también se utilizan para demostrar los resultados obtenidos con el presupuesto de la UE y los avances realizados hacia la consecución de los objetivos de sus programas de gasto. Para mejorar la relación coste-eficacia, los datos deben estar ampliamente disponibles en todos los servicios de la Comisión y, si procede, ponerse en común. Al mismo tiempo, la Comisión debe velar por la total observancia de los requisitos legales y otras condiciones de confidencialidad y garantizar un alto nivel de seguridad para la información sensible. La necesidad de preservar un elevado nivel de privacidad, seguridad, protección y ética sin afectar al flujo y al uso generalizado de los datos forma parte integrante de las orientaciones políticas y se subraya en los métodos de trabajo de la Comisión Von der Leyen.

En general, el Servicio de Auditoría Interna considera que la aplicación de las recomendaciones es satisfactoria y comparable a la de los períodos de notificación anteriores. La situación actual indica que los servicios de la Comisión son diligentes a la hora de aplicar las recomendaciones críticas y muy importantes y que, por lo tanto, consiguen mitigar los riesgos detectados por el Servicio de Auditoría Interna. No obstante, debe prestarse una especial atención a las recomendaciones individuales calificadas como «muy importantes» que han sufrido mucho retraso.

De las 285 recomendaciones abiertas, 5 se califican como «críticas», 83 como «muy importantes» y 76 como «con retraso» (es decir, no aplicadas en la fecha de aplicación originalmente acordada). Las recomendaciones con retraso representan el 7,5 % del total de 1 010 recomendaciones (parcialmente) aceptadas. De las 76 recomendaciones con retraso, se considera que seis recomendaciones muy importantes sufren mucho retraso (esta calificación se otorga cuando la recomendación todavía sigue abierta más de seis meses después de la fecha de aplicación original). Las recomendaciones muy importantes con mucho retraso representan el 0,6 % del número total de recomendaciones críticas y muy importantes aceptadas en el período comprendido entre 2016 y 2020 (en comparación con el 0,3 % en el período de notificación anterior).

En este difícil contexto, el Servicio de Auditoría Interna llevó a cabo una serie de auditorías que abarcaban diferentes aspectos de la gestión de datos. Los resultados de estas auditorías indican claramente que, cara al futuro, es preciso introducir mejoras significativas en este ámbito, para lo cual se formuló en 2020 una importante serie de recomendaciones relativas a la gestión de los datos.

La auditoría de gestión de datos, información y conocimientos evaluó la eficacia de la estrategia de gestión de datos, información y conocimientos de la Comisión. Concluyó que la Comisión debía establecer una estrategia y una estructura específicas con el objetivo de: 1) mejorar el modo en que se recopilan, gestionan, comparten y conservan los datos, la información y los conocimientos, y 2) desarrollar nuevas oportunidades de trabajo colaborativo. El Servicio de Auditoría Interna reconoció que, dentro de los límites de la estrategia y la gobernanza actuales, se habían dado importantes pasos para establecer prioridades y para dirigir y coordinar las actividades de gestión de datos, información y conocimientos. Sin embargo, es necesario introducir mejoras proporcionadas en ámbitos clave que permitan a la Comisión disponer de una estrategia de gestión de datos, información y conocimientos plenamente acorde con sus prioridades y objetivos políticos, reforzar la función de supervisión del órgano de gobierno (el Comité Director de Gestión de la Información) y garantizar una gestión eficaz de los datos, la información y los conocimientos. Las mejoras propuestas tienen por objeto complementar el marco existente a fin de responder mejor a los retos y cambios que trae consigo la aplicación de una Comisión plenamente impulsada por los datos.

En la auditoría de la actividad que el Centro Común de Investigación lleva a cabo en apoyo de la política y la gestión de los conocimientos de la UE se detectó un problema de armonización con las prioridades y objetivos generales de la Comisión. El Centro Común de Investigación es el servicio de ciencia y conocimiento de la Comisión Europea. Habida cuenta de que uno de sus objetivos principales es apoyar las políticas de la UE mediante pruebas científicas independientes y de la máxima calidad a lo largo de todo el ciclo de la elaboración de políticas, en toda una variedad de sectores, la gestión adecuada de los datos, la información y el conocimiento es un factor crítico para el éxito del Centro. Aunque los procesos de apoyo a las políticas y de gestión de conocimientos se aplican de manera eficiente, de forma que el Centro pueda movilizar los conocimientos especializados disponibles para proporcionar, en tiempo útil, resultados de alta calidad que satisfagan las necesidades de apoyo a las políticas del cliente, se observa una deficiencia significativa (muy importante) en el diseño de los procesos que afecta a la aplicación efectiva de estos. Es preciso reforzar considerablemente la labor que permite determinar, en toda la Comisión, las necesidades de apoyo a las políticas de la institución y de las distintas Direcciones Generales, con el fin de conseguir una priorización de las actividades del Centro que sea más eficaz y corresponda mejor a las prioridades de la Comisión.

Otro aspecto clave de la gestión de datos es la protección de la información y la preservación de la confidencialidad de los datos gestionados. Esto es, si cabe, más importante para la información clasificada, cuya divulgación no autorizada puede causar un perjuicio considerable a los intereses de la UE o de uno o varios de sus Estados miembros. Durante la auditoría sobre la gestión de las subvenciones de Horizonte 2020 en la Agencia Ejecutiva de Investigación, los auditores constataron que, si bien los controles ex ante de los pagos de Horizonte 2020 y los procesos para el cierre de los proyectos de Horizonte 2020 eran eficaces, existían en la gestión de proyectos que implicaban el uso de información restringida de la UE deficiencias, que, en última instancia, habían dado lugar a fallos en la seguridad.

La estrategia digital de la Comisión es complementaria de su estrategia de gestión de datos, información y conocimientos. La estrategia digital establece una visión para una administración digitalmente transformada, centrada en el usuario e impulsada por los datos. Uno de los factores que facilitan esta transformación es la computación en la nube. La computación en la nube pública tiene la finalidad de aportar ventajas como la agilidad empresarial, la facilidad de uso, la disponibilidad de datos, el ahorro de costes y la sostenibilidad. Sin embargo, la protección adecuada de los datos debe ser también una consideración esencial a la hora de adoptar soluciones de tecnología de la información en la nube. En la auditoría sobre la gestión de los servicios públicos en la nube, el Servicio de Auditoría Interna reconoció los esfuerzos realizados en los últimos años para desarrollar una visión de las soluciones de infraestructura informática basadas en la nube. Aunque reconoce las medidas ya adoptadas por la Comisión con el fin de establecer disposiciones adecuadas para el uso de los servicios públicos de «infraestructura como servicio» y «plataforma como servicio» en la nube, el Servicio de Auditoría Interna llegó a la conclusión de que la gobernanza y la seguridad de estos servicios de seguridad en la nube deben mejorarse significativamente para garantizar que alcancen sus objetivos con una menor exposición al riesgo.

4.1.2.Protección de datos

Dos auditorías evaluaron la eficiencia y la eficacia de los sistemas de control interno que permiten a las Direcciones Generales de la Comisión afectadas demostrar el cumplimiento del Reglamento (UE) 2018/1725, relativo a la protección de datos personales. Ambas auditorías revelaron la existencia de importantes deficiencias en los sistemas de control interno vigentes. Esta situación expone a la Comisión a una serie de riesgos para su reputación que pueden impedir la consecución de su objetivo general de convertirse en una «Comisión Europea moderna, de alto rendimiento y sostenible», debido en particular a su papel esencial en la adopción de normas de protección de datos en Europa.

1.La primera auditoría tuvo por objeto cinco Direcciones Generales y servicios (a nivel global y local) y dio lugar a un total de ocho recomendaciones muy importantes. El Servicio de Auditoría Interna llegó a la conclusión de que, si bien la Comisión ha logrado considerables avances en cuanto a la implantación de sistemas de control que permiten a las Direcciones Generales y a los servicios demostrar el cumplimiento de la base jurídica aplicable, todavía es preciso introducir una serie de mejoras significativas para reforzar la eficacia y la eficiencia de estos sistemas como parte del camino hacia el pleno cumplimiento. Estas mejoras se refieren a los aspectos siguientes: 1) el marco general que rige la protección de datos; 2) el papel y las actividades del delegado de protección de datos en apoyo del proceso de protección de datos en toda la Comisión, y 3) el uso de medidas específicamente previstas para mejorar el cumplimiento de las disposiciones fundamentales del Reglamento (UE) 2018/1725. Estas mejoras deben considerarse medidas complementarias para mejorar las estructuras y procesos de gobernanza existentes en relación con las cuestiones de protección de datos, sin menoscabo de los principios por los que se rige el actual modelo descentralizado de la Comisión, que siguen siendo válidos.

2.La segunda auditoría se llevó a cabo en la Dirección General de Educación, Juventud, Deporte y Cultura, que es responsable de programas como Erasmus+ y el Cuerpo Europeo de Solidaridad, y dio lugar a una recomendación crítica y cuatro recomendaciones muy importantes. Para su participación en estos programas, un elevado número de personas facilita datos personales a esta Dirección General. En su rol de responsable delegada del tratamiento de datos, la Dirección General trata estos datos personales y los transmite a las agencias nacionales de los Estados miembros de la UE y de terceros países, que son las encargadas de ejecutar los proyectos a nivel nacional. Junto con las agencias nacionales, que actúan como encargadas del tratamiento de datos, la Dirección General de Educación, Juventud, Deporte y Cultura debe garantizar que todos los agentes que tengan acceso a esta información protejan adecuadamente los datos recibidos de los participantes en los programas. El Servicio de Auditoría Interna constató lo siguiente: 1) la Dirección General introdujo determinados elementos relacionados con la protección de datos personales en los documentos de orientación y los acuerdos que rigen los programas, y 2) la protección de datos personales se menciona explícitamente en las declaraciones de gestión de las agencias nacionales. Estos elementos son piezas clave del sistema de control para el tratamiento de datos personales, pero no siempre se aplican adecuadamente y, más concretamente, no constituyen las salvaguardias requeridas por el Reglamento (UE) 2018/1725 para las transferencias internacionales de datos fuera de la UE / los países del Espacio Económico Europeo. El sistema de control interno para la protección de los datos personales de los beneficiarios y participantes en los programas Erasmus+ y el Cuerpo Europeo de Solidaridad no se consideró una garantía eficaz del cumplimiento de las disposiciones esenciales del Reglamento.

A raíz de estas dos auditorías se planteó una cuestión transversal: la transferencia de datos personales a terceros países. La invalidación del Escudo de la privacidad UE-EE. UU. («sentencia Schrems II») plantea dificultades concretas para los servicios que transfieren datos personales a terceros países o que utilizan la nube. En respuesta a una orden del Supervisor Europeo de Protección de Datos, la Comisión tomó nota de la existencia de más de 600 registros de tratamiento que podrían suponer transferencias internacionales de datos personales problemáticas. La recomendación crítica dirigida por el Servicio de Auditoría Interna a la Dirección General de Educación, Juventud, Deporte y Cultura guardaba relación con la transferencia de datos personales a terceros países. Tras las medidas adoptadas por la Dirección General, el Servicio de Auditoría Interna llevó a cabo, después de la fecha límite para la presentación de los datos destinados al presente informe anual, una evaluación de algunas de las medidas aplicadas por el auditado. El Servicio de Auditoría Interna concluyó que la Dirección General de Educación, Juventud, Deporte y Cultura había mitigado parcialmente los riesgos y, en consecuencia, rebajó el nivel de riesgo de dos de las recomendaciones (de «crítica» a «muy importante» y de «muy importante» a «importante»).

Por último, en otra auditoría relacionada con la gestión de los expertos en relación con las subvenciones de Horizonte 2020, se detectó un problema en el tratamiento de los datos personales de los expertos, lo que dio lugar a una recomendación «muy importante».

4.1.3.Estrategias de supervisión de la ejecución de programas por parte de terceros

Los ordenadores de pagos deben establecer estrategias y actividades adecuadas y eficaces para supervisar y controlar la ejecución efectiva de los programas por parte de las entidades delegadas y la protección del presupuesto de la UE, así como para resolver rápidamente cualquier dificultad que pueda detectarse. En años anteriores, el Servicio de Auditoría Interna realizó varias auditorías centradas en los mecanismos de supervisión de que disponen las Direcciones Generales y los servicios con respecto a la ejecución de programas (o políticas) por parte de terceros. Con frecuencia se detectaron lagunas en la eficacia de estas estrategias de supervisión. En su dictamen general sobre la gestión financiera, el Servicio de Auditoría Interna ha formulado durante seis años consecutivos (entre 2015 y 2020) un párrafo de énfasis con respecto a las estrategias de supervisión de la ejecución de políticas por parte de terceros. En 2020, tres auditorías se centraron en las contribuciones de la UE ejecutadas en régimen de gestión indirecta.

La auditoría realizada ante múltiples entidades acerca de las evaluaciones por pilares puso de manifiesto deficiencias significativas en el sistema de control interno para la delegación de fondos en régimen de gestión indirecta, tanto a nivel institucional como a nivel local, en una serie de Direcciones Generales de la familia de acción exterior. Aunque la Comisión ha realizado grandes esfuerzos por establecer un sistema eficaz de evaluaciones por pilares y sigue invirtiendo en el desarrollo de un enfoque común a toda la institución para lograr una aplicación coherente y reducir los elevados riesgos inherentes al sistema, este ha de ser considerablemente reforzado. Estas medidas son necesarias para garantizar un nivel de protección del presupuesto de la UE equivalente al ofrecido en el caso de ejecución directa del presupuesto. Las deficiencias significativas detectadas se refieren a 1) acuerdos firmados con la Secretaría de las Naciones Unidas y entidades asociadas sin una evaluación por pilares previa positiva y sin adoptar las medidas de supervisión adecuadas (esta observación dio lugar a que el Servicio de Auditoría Interna formulara recomendaciones críticas a los auditados); 2) información incorrecta sobre la situación de las evaluaciones por pilares que ha llevado a las Direcciones Generales y los servicios a firmar acuerdos con entidades sin una evaluación por pilares previa positiva y sin adoptar las medidas de supervisión adecuadas; 3) una supervisión institucional inadecuada; 4) un seguimiento inadecuado de los cambios sustanciales intervenidos en los sistemas de las entidades evaluadas por pilares; y 5) una insuficiente implicación de las Direcciones Generales y los servicios en las evaluaciones por pilares realizadas por terceros. Sobre la base de estas observaciones, el Servicio de Auditoría Interna formuló a las cinco Direcciones Generales afectadas un total de 4 recomendaciones críticas y 15 muy importantes. En el anexo del presente informe figura información detallada al respecto.

Al mismo tiempo, las otras dos auditorías de 1) gestión indirecta con «entidades encargadas» en la Dirección General de Asociaciones Internacionales y la Dirección General de Política de Vecindad y Negociaciones de Ampliación y 2) la supervisión de la ejecución del programa 2014-2020 del sistema europeo de navegación por complemento geoestacionario de la Dirección General de Industria y Espacio de Defensa ofrecieron una imagen globalmente positiva de los procesos auditados, ya que no detectaron ninguna cuestión crítica o muy importante.

4.1.4.Estrategias de control de las Direcciones Generales y servicios seleccionados

Las Direcciones Generales y los servicios deben garantizar la legalidad, la regularidad y la buena gestión financiera de los programas y proyectos financiados con cargo al presupuesto de la UE. Los ordenadores delegados diseñan una estrategia de control que engloba controles ex ante y ex post, piezas clave de la declaración de fiabilidad anual. En 2020, el Servicio de Auditoría Interna realizó varias auditorías en este ámbito, por ejemplo:

1) una auditoría sobre el diseño y la aplicación de la estrategia de control en los ámbitos de los consumidores, la salud y la Agencia Ejecutiva de Agricultura y Alimentación; 2) una auditoría sobre la eficacia del diseño y la aplicación de la estrategia de control ex post para el Mecanismo «Conectar Europa» en la Agencia Ejecutiva de Innovación y Redes; 3) una auditoría sobre la estrategia de auditoría ex post de Horizonte 2020 en la Dirección General de Investigación e Innovación, y 4) una auditoría de los controles ex post en la Agencia Ejecutiva en el Ámbito Educativo, Audiovisual y Cultural. Las auditorías de 2020 ofrecen una imagen globalmente positiva, aunque dos de las cuatro auditorías pusieron de manifiesto las deficiencias siguientes.

El Centro Común de Ejecución depende administrativamente de la Dirección General de Investigación e Innovación y presta a los distintos organismos de ejecución de Horizonte 2020 servicios de auditorías financieras (ex post) llevadas a cabo por sus propios auditores o por empresas de auditoría externas con el fin de verificar la subvencionabilidad de los costes declarados por los beneficiarios. El Servicio de Auditoría Interna detectó una deficiencia en el diseño de la estrategia de auditoría ex post para Horizonte 2020 y emitió dos recomendaciones muy importantes.

Aunque en la Agencia Ejecutiva de Innovación y Redes se comprobó que la estrategia de control ex post estaba, en términos generales, correctamente diseñada y era objeto de una aplicación efectiva, se detectó una deficiencia referente a la evaluación de las modificaciones de los contratos públicos durante las auditorías ex post y a la documentación del trabajo realizado por los auditores sobre el terreno.