[pic] | COMMISSION DES COMMUNAUTÉS EUROPÉENNES |

Bruxelles, le 5.8.2009

COM(2009) 419 final

RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

rapport annuel à l'autorité de décharge concernant les audits internes réalisés en 2008 (Article 86, paragraphe 4, du règlement financier) {SEC(2009) 1102}

TABLE DES MATIÈRES

1. Introduction 3

2. Environnement de travail et plan d'audit 3

2.1. Environnement de travail 3

2.2. Développements du processus d'audit interne 4

2.3. Mise en œuvre du plan d'audit de l'IAS 4

2.4. Acceptation des recommandations et points de vue des entités auditées et des parties prenantes 7

3. Principales constatations et recommandations 8

4. Conclusions 12

1. INTRODUCTION

Le présent rapport informe l'autorité de décharge des travaux menés par le Service d'Audit Interne (IAS) en 2007, conformément à l'article 86, paragraphe 4, du règlement financier (RF). Il est basé sur le rapport de l'IAS sur ses principales constatations d’audit, en vertu de l'article 86, paragraphe 3, du règlement financier et, conformément aux normes régissant la profession, « sur les risques importants, le contrôle et sur le gouvernement d'entreprise ».

Le présent rapport s’appuie sur les rapports d’audit et les avis finalisés par l'IAS en 2008[1]. Il porte uniquement sur le travail d’audit et de conseil concernant les DG et services de la Commission ainsi que les agences exécutives. Il ne couvre pas les travaux de l'IAS concernant d'autres agences ou organismes.

La réponse de la Commission aux observations et conclusions de l'Auditeur interne figure dans le rapport de synthèse sur les rapports annuels d'activité des directeurs généraux. Dans ce rapport de synthèse, adopté en même temps, la Commission prend position sur les questions horizontales soulevées par l'Auditeur interne, la Cour des Comptes Européennes, l'autorité de décharge, ou identifiées par le Comité de suivi des audits ou le directeur général de la DG Budget dans son rapport global.

2. ENVIRONNEMENT DE TRAVAIL ET PLAN D'AUDIT

2.1. Environnement de travail

Les standards révisés de contrôle interne sont entrés en application au début de 2008. Les DG ont été invitées à sélectionner les standards auxquels elles entendent donner la priorité en vue de démontrer leur efficacité. À la demande de plusieurs DG, la DG BUDG a publié des lignes directrices sur l'évaluation de l'efficacité des systèmes de contrôle interne, afin d'aider les directeurs généraux à mener à bien cet exercice.

La DG BUDG a réalisé un examen du cadre de gestion des risques de la Commission, qui est en vigueur depuis trois ans

Des modifications ont été apportées (par le SG et la DG BUDG) aux instructions permanentes de préparation des rapports d'activité annuels, notamment en ce qui concerne le fonctionnement et la mise en œuvre des standards de contrôle interne et le signalement des événements pouvant avoir un impact sur la réputation.

En mars 2008, la Commission a arrêté une série de mesures à prendre en matière d’éthique. Ces mesures comprennent un vaste examen, dans toutes les DG, du projet de déclaration de principes d’éthique professionnelle et la désignation d'un correspondant « éthique » dans chaque DG.

L'IAS a continué de bénéficier du soutien total du Collège et du comité de suivi des audits (CSA), ce qui lui permet de conserver son indépendance et son objectivité dans l'exercice de ses fonctions.

2.2. Développements du processus d'audit interne

L'évaluation externe de qualité de l'IAS a été achevée en juillet 2008. Elle a permis de certifier que l'activité d’audit de l'IAS au sein de la Commission était généralement conforme aux normes et au code de déontologie de l'Institut des auditeurs internes (IIA). Les mesures prises dans la foulée de cette certification comprennent une réflexion sur une définition plus détaillée de l'univers d’audit, une évaluation quantitative de la couverture d’audit, une planification et une évaluation des risques plus poussées favorisant une démarche d'audit unique et la création d’un groupe des utilisateurs des rapports d’audit, qui a élaboré un modèle actualisé de rapport d’audit interne.

En outre, afin de libérer des ressources en vue d’augmenter le nombre et la couverture des audits, la nouvelle stratégie de suivi, davantage axée sur le risque, se concentre à présent sur les domaines à haut risque et sur l’application des recommandations « essentielles » et « très importantes ».

Un programme très complet de formation professionnelle des auditeurs internes a été mis en place dans le cadre d'une coopération entre l'IAS, Auditnet et la DG ADMIN. Ce programme permet à tous les auditeurs internes de la Commission d’acquérir en deux ou trois ans les compétences nécessaires, de sorte qu'ils soient bien préparés à présenter les examens de certification organisés par l’IIA.

2.3. Mise en œuvre du plan d'audit de l'IAS

Le plan d’audit stratégique 2007-2009 de l’IAS, élaboré en étroite collaboration avec les structures d’audit interne, a été actualisé.

Au total, 89 % des points du programme de travail 2008 ont été mis en œuvre. Pour les engagements « C1 » (ciblés dans le plan d’audit avalisé par le CSA comme devant être exécutés à la fin 2008), le taux de mise en œuvre est de 100 % : 93 rapports (36 rapports d’audit, 51 rapports de suivi, 2 examens limités, un rapport de consultance et 3 lettres de recommandations) ont été finalisés en 2008[2]. Des résumés de ces travaux sont fournis en annexe, avec une présentation détaillée des niveaux d'acceptation et, lorsqu'ils sont disponibles, de mise en œuvre des recommandations.

Liste des rapports finalisés de l'IAS |

DG | Mission | Date de sortie (2008, sauf indication contraire) |

Systèmes administratifs et autres systèmes d'appui |

ESTAT | Suivi de la gestion informatique locale* | 26.2 |

EPSO | Auto-évaluation d'une proposition d’organigramme | 9.4 |

ECFIN | Mise en œuvre de certains standards de contrôle interne à la DG ECFIN* | 11.4 |

OPOCE | Marchés publics* | 7.5 |

OIL | Évaluation de certains standards de contrôle interne | 19.5 |

ECFIN | Suivi de la gestion informatique locale à la DG ECFIN* | 27.6 |

PMO | Missions | 11.7 |

BUDG, LS, AIDCO, EAC, INFSO, EACEA | Recouvrements | 7.10 |

DIGIT | Infrastructure et services du réseau de gestion des données | 17.10 |

SCIC | Suivi de la gestion financière et des marchés publics | 3.12 |

ADMIN | Contrôle de la gestion de la sécurité par ADMIN-DS | 11.12 |

LS | Informatique locale | 11.12 |

ADMIN, OIB, INFSO, RTD, SG, TRADE | L’éthique à la Commission | 12.12 |

DGT | Suivi de la gestion de la demande | 17.12 |

BUDG | Lettre de recommandation sur l’éthique à la Commission | 19.12 |

SG, BUDG, ADMIN, DIGIT | Lettre de recommandation sur les approvisionnements informatiques et la fourniture de services à la Commission | 19.12 |

PMO | Suivi de la régularité de la gestion financière et de la mise en œuvre des circuits financiers | 22.12 |

ADMIN, AGRI, AIDCO, BUDG, COMM, COMP, DEV, EAC, ECFIN, ECHO, ELARG, EMPL, ENV, ESTAT, INFSO, JLS, JRC, LS, MARE, MARKT, OLAF, OPOCE, REGIO, RELEX, RTD, SANCO, SG, TAXUD, TRADE | Suivi de la validation par l'IAS de l'auto-évaluation de la structure d’audit interne | Différentes dates |

OLAF | Système d'information antifraude (AFIS) | 21.1.2009 |

OIB | Suivi de l'évaluation de certains standards de contrôle interne | 22.1.2009 |

OIB | Suivi de la gestion des marchés publics | 23.1.2009 |

Politiques internes |

PHEA | Agence exécutive pour le programme de santé publique | 24.1 |

INFSO | Gestion des systèmes de recherche d'informations | 31.3 |

SANCO | Suivi de l'efficacité et de l'efficience du cycle SPP/ABM | 1.4 |

TREN | Suivi de l'efficacité et de l'efficience du cycle SPP/ABM | 11.4 |

EACI | Suivi de l’Agence | 18.4 |

RTD | Gestion des systèmes de recherche d'informations | 22.4 |

EAC | Deuxième suivi de l’audit approfondi | 25.4 |

RTD, INFSO, TREN, ENTR, DIGIT | Lettre de recommandation sur la gouvernance informatique inter-DG dans le 7e PC | 26.5 |

COMP | Suivi de l'efficacité et de l'efficience du cycle SPP/ABM et de la gestion par activité | 29.5 |

MARKT | Suivi des procédures de gestion informatique locale | 17.6 |

ENV | Gestion du CITL à la DG ENV* | 10.7 |

JLS | Suivi de la gestion informatique | 14.7 |

JLS | Subventions du Fonds européen des réfugiés en gestion partagée | 4.11 |

COMP | Recouvrement des amendes | 13.11 |

JLS | Marchés publics informatiques | 17.11 |

INFSO | Suivi des contrôles ex post (2006) | 8.12 |

EACEA | Subventions : gestion, attribution et passation des contrats | 11.12 |

RTD | Suivi des contrôles ex post (2006), des circuits financiers et de la gestion financière (2007) | 11.12 |

TREN-TEN-T | Audit de l'agence exécutive TREN-TEN-T | 16.12 |

SANCO | Suivi des grands systèmes informatiques | 21.1.2009 |

SANCO | Gestion des subventions dans les domaines phytosanitaire, de la sécurité alimentaire et de la santé et du bien-être des animaux | 30.1.2009 |

Actions structurelles |

REGIO | Examen des corrections financières et des recouvrements dans le domaine des Fonds structurels | 14.11 |

EMPL | Examen des corrections financières et des recouvrements dans le domaine des Fonds structurels | 14.11 |

REGIO | Système de contrôle interne pour la gestion de la nouvelle période de programmation des Fonds structurels - Phase I | 19.11 |

EMPL | Système de contrôle interne pour la gestion de la nouvelle période de programmation des Fonds structurels - Phase I | 19.11 |

REGIO | Suivi des corrections financières dans le Fonds de cohésion (2006) | 12.12 |

Actions extérieures |

AIDCO | Deuxième suivi de l’audit approfondi | 20.6 |

AIDCO | Procédures de gestion financière de la direction C relatives aux délégations déconcentrées** | 30.6 |

AIDCO | Gestion financière des projets régionaux | 18.7 |

ELARG | Suivi des contrôles ex post | 18.7 |

ELARG | Évaluation de l’état de préparation/de la mise en service des délégations dans les Balkans | 17.12 |

AIDCO | Gestion financière des principaux programmes de la direction B | 22.12 |

AIDCO, ECHO | Suivi de la mise en œuvre de l'accord-cadre financier et administratif | 22.1.2009 |

RELEX | Suivi des contrôles ex post | 23.1.2009 |

*Audit/suivi conjoint en association avec la structure d'audit interne (SAI) de la DG concernée.

** Audit effectué par la SAI de la DG AIDCO en coopération avec l'IAS.

2.4. Acceptation des recommandations et points de vue des entités auditées et des parties prenantes

En 2008, le niveau d'acceptation des recommandations d’audit par les entités auditées s'est élevé à 99,4 %.

Audits réalisés à la Commission et dans les agences exécutives |

Recommandations | Acceptées | Rejetées | % | Total |

Essentielles | 0 | 0 | 0 | 0 |

Très importantes | 150 | 2 | 46 | 152 |

Importantes | 160 | 0 | 49 | 160 |

Souhaitables | 15 | 0 | 5 | 15 |

% | 99.4 | 0.6 |

Total | 325 | 2 | 327 |

Le feedback des entités auditées sur l'étendue et la conduite de l'audit a produit un score moyen de 1,74 sur une échelle descendante allant de 1 à 4, contre 1,86 pour 2007 et 1,95 pour 2006. Selon une nouvelle enquête effectuée auprès des parties prenantes au début de 2009, 90,8 % des personnes interrogées estiment que l'IAS a une stratégie d'audit claire, 83,1 % estiment que les audits ont été exécutés de façon honnête, objective et équitable, et 61,5 % sont d'avis que les recommandations de l'IAS ont une utilité directe. Globalement, 86,2 % des personnes interrogées considèrent que le travail de l’IAS contribue à la qualité des systèmes de contrôle et de gestion à la Commission.

3. PRINCIPALES CONSTATATIONS ET RECOMMANDATIONS

Éthique

Un audit sur le cadre d’éthique de la Commission, effectué dans deux DG horizontales et quatre DG opérationnelles, est arrivé à la conclusion que le cadre en question était raisonnablement solide et complet, et que les DG auditées avaient pris récemment ou étaient en train de prendre un certain nombre de mesures supplémentaires de sensibilisation des parties prenantes au cadre d’éthique ou de renforcement de celui-ci.

L’audit a constaté qu'il convenait de clarifier encore les règles existantes, notamment en ce qui concerne les cadeaux, l'hospitalité et la déclaration des conflits d'intérêts, et d’accompagner cette clarification de lignes directrices émanant des DG centrales et d'un suivi plus étroit de leur mise en œuvre.

La sensibilisation de l'ensemble des membres du personnel à leurs obligations, pendant ou après leur emploi à la Commission, de même que l'information du personnel sur les mesures mises en œuvre, font l'objet d'améliorations constantes.

Gestion des marchés publics et des subventions

La série des audits concernant les approvisionnements informatiques et la fourniture de services a été bouclée par un audit conduit dans une DG opérationnelle et par une lettre de recommandation sur les approvisionnements informatiques et la fourniture de services à la Commission.

Les efforts d’amélioration dans ce domaine ont porté sur le renforcement de la gestion centrale en vue de fournir un soutien et des orientations, sur une plus grande coordination au niveau de la Commission en vue d’assurer une fixation optimale des priorités et l’obtention des solutions économiquement les plus avantageuses, et sur la participation de l’encadrement supérieur des DG au développement et au suivi de la mise en œuvre des stratégies d'approvisionnement.

Outre les rapports sur les approvisionnements informatiques, deux audits de suivi et trois nouveaux audits ont porté sur les procédures de marchés publics et/ou de gestion des subventions. Parmi les problèmes mis en évidence dans ces audits, on note une concentration excessive sur un nombre limité de contractants (notamment pour les approvisionnements informatiques) qui pourrait être réduite par la formalisation d’une stratégie d'externalisation. On relève également : l’absence d'un manuel consolidé des marchés publics, d'un système global d’information de gestion et d'une stratégie intégrée pour l’audit des fonds, ainsi que la nécessité d’améliorer le cahier des charges et les spécifications techniques, le suivi et le compte rendu des marchés, et la gestion de la charge de travail.

Agences exécutives

Le nombre d'agences exécutives continuant d’augmenter, les questions de contrôle et d’audit les concernant acquièrent une visibilité croissante.

En 2008, quatre audits d’agences exécutives ont été achevés, portant sur les systèmes de contrôle interne, les subventions (gestion, attribution et passation des contrats), le budget administratif et les recouvrements[3]. Si le résultat global est plutôt positif, les constatations formulées ont été influencées par le fait qu’en raison de la longueur du démarrage des agences, certaines dispositions du règlement financier des agences exécutives (principe du « double regard ») ou des règlements portant création des agences (composition du comité de direction, publicité des budgets et application de normes comptables internationales) n’ont pas été respectées, que des immobilisations n’ont pas été transférées des DG « parentes » vers les agences exécutives ou qu’il conviendrait de rationaliser et d'harmoniser les procédures des DG « parentes ».

Questions informatiques

Le travail d’audit approfondi relatif aux questions informatiques (hormis les marchés publics) s’est poursuivi par une lettre de recommandation, six rapports d’audit et cinq rapports de suivi.

Cinq rapports de suivi concernant la gestion informatique locale ont été finalisés. Dans trois cas, les plans d'action correspondants ont été presque intégralement mis en œuvre. En revanche, dans un cas, près de la moitié des mesures du plan d'action ont été retardées et, dans un autre, un tiers des recommandations en étaient encore au stade de la mise en œuvre.

Deux nouveaux rapports sur la gestion des systèmes de recherche d'informations ont été produits. L'un des deux conclut que, en raison principalement d’un défaut d’harmonisation des processus d’entreprise, aucune assurance raisonnable n’a pu être fournie quant aux processus audités. Les risques communs identifiés comprennent des retards dans les projets, la possible indisponibilité de systèmes, le dysfonctionnement de différents modules informatiques et des problèmes de sécurité, illustrés par la protection insuffisante des biens informatiques et la faiblesse des contrôles devant sauvegarder la sécurité logique et physique des mêmes biens. Ces deux audits ont également débouché sur des considérations systémiques, qui sont actuellement prises en compte par les DG concernées, en vue d'étendre le rôle du comité de pilotage des projets informatiques à la supervision de l'ensemble des projets et systèmes informatiques communs et partagés au sein de la famille « recherche » et d’élaborer une architecture des systèmes informatiques assurant l'interopérabilité desdits systèmes ainsi que la cohérence des processus d’entreprise.

Le réseau de gestion des données (corporate data network) est l'un des sept services informatiques globaux identifiés comme vitaux pour la Commission dans le cadre des plans de continuité des opérations. Bien qu’une assurance raisonnable ait pu être fournie sur le fonctionnement du réseau de gestion des données, des améliorations s’imposent tant au niveau de la gestion du réseau (il conviendrait d’améliorer la gestion des changements de configuration et d’établir une liste exhaustive des services proposés aux utilisateurs) qu’au niveau des dispositions en matière de sécurité logique (il conviendrait, notamment, d’adopter des normes et des lignes directrices centrales visant à assurer la sécurité des systèmes et la continuité du service). L’audit a pointé, au niveau du cadre de sécurité des systèmes d'information, des problèmes de gouvernance entraînant des retards importants dans l'élaboration des règles de mise en œuvre ainsi que dans la mise en œuvre effective de certaines mesures de sécurité. Pour y remédier, l’audit a principalement recommandé une clarification des rôles de l'ADMIN/DS et de la DIGIT dans le domaine de la sécurité informatique ainsi qu’une coopération étroite et structurée entre ces deux acteurs en vue d’élaborer des normes de sécurité informatique tirant parti des compétences et du savoir disponibles.

Recouvrements et corrections financières

Une mission d’audit conduite dans deux DG horizontales et quatre DG opérationnelles s’est intéressée à la gestion du recouvrement des montants indûment versés en gestion centralisée[4]. Des recommandations ont été formulées sur chaque étape du processus de recouvrement : plusieurs DG opérationnelles devraient améliorer leurs instruments de suivi, afin d'obtenir des informations plus détaillées et à jour facilitant la détection des montants indûment versés ; il conviendrait de systématiser davantage la publication et le suivi des prévisions de recettes, pour faire en sorte que tous les ordres de recouvrement soient bien émis, et de surveiller étroitement les dates limites d’émission des lettres de pré-information et des ordres de recouvrement ; les retards de recouvrement devraient être réduits, par un suivi plus systématique. Un problème spécifique a été relevé dans une agence exécutive auditée dans ce contexte : étant donné que chaque agence exécutive est dotée de la personnalité juridique et dispose donc de son propre service juridique, la Commission n’est pas responsable lorsqu’une décision ou un ordre de recouvrement d’une agence est contesté par le contractant. Cela peut dans certains cas compromettre le bon recouvrement des fonds indûment versés. Si rien ne s’y oppose sur le plan juridique, ce risque sera atténué par la conclusion, entre les agences exécutives et le Service juridique de la Commission, d'un accord de service fixant les conditions d’une assistance juridique aux agences dans les procédures de recouvrement.

Deux examens ont porté sur les corrections financières et les recouvrements dans les Fonds structurels. Les DG chargées des Fonds structurels ont consenti d’importants efforts pour mettre en œuvre dans les délais les mesures exposées dans le plan d'action, et l'IAS a constaté la complexité des procédures de correction financière tant au niveau de la Commission qu’à celui des informations fournies par les États membres. Des recommandations ont été formulées dans les rapports, quant à la nécessité d’harmoniser la définition de la date à laquelle il convient de comptabiliser les prévisions de recettes et à la procédure de communication trimestrielle des corrections financières à la DG BUDG. Une vue d’ensemble de toutes les corrections financières potentielles en cours et de la prise en compte opportune des audits dans le processus de correction financière augmentera considérablement la capacité de suivi de la Commission.

Un audit du recouvrement des amendes n'a révélé aucune faiblesse significative du processus de recouvrement.

PMO (gestion financière et circuits financiers)

Un audit de suivi des circuits financiers et de la gestion financière au PMO a conclu que les recommandations adressées à cet office n'avaient pas été mises en œuvre de manière adéquate. Cela s’explique en partie par les difficultés rencontrées dans la mise en exploitation du nouveau système informatique de gestion des carrières, des droits et des traitements (SYSPER2, IRIS et NAP). Il reste toujours à assurer la qualité (exactitude et exhaustivité) des données à caractère personnel et l'interopérabilité des systèmes concernés, et à centraliser tous les documents personnels nécessaires dans un seul et même système d'information général. D'autres recommandations en suspens concernent la nécessité de resserrer les contrôles opérationnels et ex post ainsi que la gestion des dossiers du personnel, de fournir un tableau actualisé des subdélégations de responsabilités, de documenter les procédures et listes de contrôle et d’actualiser les descriptions de poste.

Pour ce qui concerne la gestion des paiements des frais de mission, l’audit a recommandé d’améliorer le système de contrôle ex-ante afin de réduire le nombre d'erreurs, et d'intensifier la formation des gestionnaires de paie afin d'éviter les remboursements incorrects ou multiples. L’encadrement du PMO a établi un plan d'action, pour aborder toutes ces questions.

Sécurité

Un audit de l'IAS sur le contrôle de la sécurité par l’ADMIN DS a formulé un certain nombre de recommandations concernant, notamment, la nécessité d'améliorer le cadre réglementaire et les accords bilatéraux, la définition du rôle et des responsabilités des LSO (responsables locaux de sécurité), le processus d'habilitation de sécurité, un rapport périodique sur l'état de la sécurité à la Commission et des règles de sécurité pour la protection des informations sensibles mais non classifiées. Les résultats de cet audit seront pris en compte dans une revue de direction portant sur la politique de sécurité à la Commission.

Actions extérieures

Les rapports de suivi concernant les actions extérieures ont révélé que la Commission devrait accorder une plus grande attention à la mise en œuvre des recommandations antérieures dans ce domaine[5].

L’audit de suivi du FAFA (accord-cadre financier et administratif) a confirmé que des réalisations importantes avaient permis de clôturer cinq des huit recommandations formulées. On note cependant certains retards de mise en œuvre, notamment en ce qui concerne la recommandation (toujours en suspens) de convenir d'autres moyens d'obtenir une assurance des Nation unies.

Trois nouveaux audits[6] sur les actions extérieures ont été achevés, dont deux débouchant sur une opinion partiellement défavorable. Dans le cas de l’audit de la gestion des projets régionaux, cette opinion résulte de sérieuses réserves émises à propos du Secrétariat de la CDAA (Communauté de développement de l'Afrique australe) et de la situation de la délégation de la Commission au Botswana. Parmi les autres questions soulevées figurent la pénurie aiguë de personnel, la lenteur du démarrage des projets, l’absence de procédures rationalisées du FED (Fonds européen de développement) et de la CDAA, la faible intégration entre composantes nationales et régionales et, plus généralement, la nécessité de renforcer les mécanismes de suivi en gestion conjointe en ce qui concerne les organisations régionales des pays ACP. Dans le cas de l’audit de la gestion financière du programme pour l'Amérique latine, la partie défavorable de l’opinion - contestée par l'entité auditée – concernait les faiblesses détectées dans la gestion décentralisée au niveau des délégations en Amérique latine : une évaluation ex-ante insuffisante de la conformité avec le règlement financier, et d'autres faiblesses limitant dans une mesure significative l'assurance attendue des principales strates de contrôle (suivi insuffisant des projets et du portefeuille et mauvaise qualité des audits de projets obligatoires).

Suivi

Malgré la nouvelle stratégie en matière de suivi, davantage axée sur les risques, une partie substantielle du travail d’audit se rapporte encore au suivi. Une activité majeure a été le contrôle des suites données à l’examen externe de qualité des structures d'audit interne (SAI), effectué en 2007. Le résultat était globalement favorable, la très grande majorité des SAI (26 sur 29) n’ayant plus qu’une ou deux recommandations à mettre en œuvre (en tout ou partie).

Les autres audits de suivi ont détecté onze cas (concernant les DG AIDCO, EAC, ECFIN, ELARG, RELEX, RDT et SANCO, ainsi que l'OIB et le PMO) où il restait plus d'une recommandation à mettre en œuvre. Dans cinq de ces cas (concernant l’OIB, le PMO, AIDCO/ECHO et ELARG) le niveau de mise en œuvre était clairement insuffisant, plus de la moitié des recommandations n’ayant reçu aucune suite.

Un état d’avancement plus détaillé est envoyé au CSA deux fois par an. Le dernier en date constatait un retard de mise en œuvre supérieur à six mois pour 29 % des recommandations (2 sur 3 pour les « essentielles » et 41 sur 147 pour les « très importantes »), contre 25 % l’année précédente (7 sur 14 pour les « essentielles » et 37 sur 138 pour les « très importantes »).

4. CONCLUSIONS

Sur la base des audits et analyses de la Commission finalisés en 2008 et d'autres travaux connexes, il est possible de tirer les conclusions suivantes :

Conclusion 1 : De nouveaux progrès ont été réalisés, mais des améliorations restent nécessaires

À la faveur de son travail d’audit, de vérification et de conseil, l'IAS a pu constater de nouvelles améliorations des systèmes de contrôle interne de la Commission. Alors que six recommandations essentielles avaient été émises en 2007, aucune ne l'a été en 2008. Le nombre d'opinions totalement ou partiellement défavorables dans les nouveaux rapports d’audit est tombé de six en 2007 à quatre en 2008. Cependant, des progrès supplémentaires sont encore nécessaires.

C'est ainsi que plusieurs aspects de la gestion financière sont encore améliorables :

- en ce qui concerne l'exhaustivité et la cohérence des statistiques de la Commission sur les recouvrements/corrections financières, des progrès sensibles ont été accomplis. En collaboration avec la DG BUDG, les DG REGIO et EMPL ont par exemple entrepris de dresser un tableau général des corrections financières (déjà établi ou sur le point de l'être), ce qui facilitera considérablement le suivi de la piste d'audit des contrôles pluriannuels en gestion partagée. Mais en gestion centralisée, on observe en revanche la persistance d'un arriéré d'ordres de recouvrement non exécutés. Il conviendra donc de simplifier et d'abréger les procédures internes de recouvrement ;

- la pertinence de l'application généralisée du seuil de signification de 2 % pour les erreurs, à la fois aux transactions financières classiques et à certains projets particulièrement complexes ou sensibles, doit être réétudiée. l'emploi proposé du concept de "risque d'erreur tolérable", s'il est avalisé par le Conseil et le Parlement, serait mieux approprié et devrait à l'avenir améliorer le degré d'assurance raisonnable pouvant être obtenu pour la gestion financière dans certains domaines ;

- l'attention a été attirée sur la nécessité d'un contrôle solide des procédures de marchés publics, en particulier dans les cas où des volets majeurs d'activités externalisées sont attribués à un nombre réduit de soumissionnaires, exposant ainsi la Commission à des risques de concentration du marché.

En ce qui concerne la sécurité, les améliorations sont considérables et les audits de suivi ont confirmé que les problèmes qui avaient été rencontrés pour s'assurer que les délégations de la Commission concernées sont dûment outillées pour le traitement de l'information classifiée de l'UE sont maintenant résolus. Les conclusions de ces audits ont aussi apporté une utile contribution au réexamen général de sa politique de sécurité auquel la Commission a procédé en 2008.

Les normes éthiques réclament une attention permanente : tout au long de l'année, des initiatives ont été lancées par les DG et au niveau central pour renforcer le cadre éthique de la Commission et mieux sensibiliser le personnel à ces questions. S'il n'a pas encore rendu d'avis d'audit sur le cadre éthique de la Commission, l'IAS prévoit de procéder au suivi d'un calendrier d'actions s'étalant jusqu'à fin 2010.

La mise en œuvre en temps utile par les services de la Commission des recommandations essentielles et très importantes est une priorité quotidienne. Le comité de suivi des audits, assisté par l'IAS, fait le nécessaire pour que les DG rendent compte de la mise en œuvre de leurs propres plans d'actions. Les rappels adressés aux commissaires responsables des services concernés sont généralement efficaces, ce qui améliore le suivi et facilite la réévaluation des risques résiduels.

Conclusion 2 : technologies de l'information

Le travail d’audit étendu effectué sur les questions informatiques a montré qu'un environnement informatique efficace et efficient était un élément clé d’une mise en œuvre réussie des politiques de la Commission. La fourniture d'efforts supplémentaires pour donner suite aux recommandations des audits antérieurs, l’application d'une approche systémique intégrée tendant à obtenir à tout moment une vue d’ensemble des développements informatiques et la nécessité de mettre au point des dispositifs de sécurité globaux propres à garantir (entre autres) la continuité des activités sont autant d'aspects dont l'importance va croissant. Une meilleure gestion des projets et de meilleurs fournisseurs de services sont également des facteurs clés de succès.

Conclusion 3 : une culture d'audit forte et bien enracinée

Le 2ème contrôle externe de la qualité de l'IAS a démontré que le service se conforme pleinement aux "normes internationales pour la pratique professionnelle de l'audit interne". L'IAS est au sein de la Commission un moteur du changement positif intégré et accepté et qui, conjointement aux capacités d'audit internes, couvre avec le plan d'audit stratégique 2007-2009 l'ensemble des risques identifiés.

S’il se concentre dans une large mesure sur la gestion financière, le plan d’audit de l’IAS porte aussi sur des domaines tels que la gouvernance (exemple : l'éthique), l’informatique et des aspects opérationnels (exemple : mise en œuvre de la législation communautaire). Comme souligné dans le présent rapport, le travail d'audit de l'IAS contribue à attirer l'attention sur les risques et les domaines ou le contrôle des risques doit être renforcé : il est donc important que le contrôle des risques autres que financiers continue à faire l'objet d'une attention soutenue partout au sein de la Commission.

[1] Certains rapports établis en 2008, mais finalisés au début de 2009, sont également inclus dans le présent rapport.

[2] Certains rapports établis en 2008, mais finalisés au début de 2009, sont également inclus dans le présent rapport.

[3] Voir la section consacrée aux recouvrements.

[4] Cet audit portait également sur le recouvrement des prêts conditionnellement remboursables (projets MEDIA).

[5] Dans le cas du deuxième suivi de l’audit approfondi de la DG AIDCO, 6 recommandations sur 22 accusaient un retard de plus d'un an par rapport à la date cible initiale. Dans le cas du suivi relatif aux contrôles ex-post à la DG ELARG, 10 recommandations sur 15 étaient toujours en cours de mise en œuvre et deux avaient été transformées en une nouvelle recommandation.

[6] Dont un effectué par la SAI de la DG AIDCO en coopération avec l'IAS.