COM(2010) 447 final

RAPPORT DE LA COMMISSION AU PARLEMENT EUROPÉEN ET AU CONSEIL

Rapport annuel à l'autorité de déchargeconcernant les audits internes réalisés en 2009(article 86, paragraphe 4, du règlement financier)

SEC(2010) 994

TABLE DES MATIÈRES

1. Introduction 2

1.1. La mission de l'IAS: indépendance, objectivité et responsabilité 2

2. Environnement de travail et plan d'audit 2

2.1. Le processus d'audit interne 2

2.2. Mise en œuvre du plan d'audit stratégique de l'IAS 3

2.3. Acceptation des recommandations et perception du travail de l'IAS 3

3. Principales constatations et recommandations de l'IAS 4

4. Conclusions 9

INTRODUCTION

Le présent rapport informe l'autorité de décharge des travaux menés par le service d'audit interne (IAS) de la Commission, conformément à l'article 86, paragraphe 4, du règlement financier (RF). Il est basé sur le rapport de l'IAS établi, en vertu de l'article 86, paragraphe 3, du RF, concernant les principales constatations d’audit et, conformément aux normes régissant la profession, l'exposition aux risques importants et leur contrôle, ainsi que le gouvernement d'entreprise.

Le présent rapport se fonde sur les rapports d'audit et de conseil réalisés par l'IAS en 2009[1] dans les services de la Commission et les agences exécutives. Il ne couvre pas les résultats des travaux d'audit réalisés par l'IAS dans d'autres agences ou organismes, pour lesquels des rapports annuels distincts sont établis.

La réponse de la Commission aux observations et conclusions de l'Auditeur interne figure dans le rapport de synthèse[2], dans lequel la Commission prend position sur les questions horizontales soulevées par l'IAS, la Cour des comptes européenne (CCE) et l'autorité de décharge, ainsi que par le Comité de suivi des audits et par les propositions en vue du réexamen triennal du règlement financier.

La mission de l'IAS: indépendance, objectivité et responsabilité

La mission de l'IAS est de contribuer à une gestion saine au sein de la Commission européenne grâce à l'audit de la gestion interne et à des systèmes de contrôle au sein de la Commission et des agences exécutives et de régulation afin d'évaluer leur efficacité en vue de l'améliorer continuellement.

L'IAS est placée sous l'autorité du membre de la Commission responsable de l'audit et doit rendre des comptes au Comité de suivi des audits (CSA).

L'IAS réalise sa mission conformément au cadre international des pratiques professionnelles de l'Institut des auditeurs internes (IIA), et l'auditeur interne a déclaré son indépendance organisationnelle au Comité de suivi des audits.

L'instance spécialisée en matière d'irrégularités financières (FIP) n'a relevé aucun problème systémique en 2009 en application de l'article 112 des modalités d'exécution du règlement financier.

ENVIRONNEMENT DE TRAVAIL ET PLAN D'AUDIT

Le processus d'audit interne

L'IAS coopère avec la CCE et les structures d'audit interne (IAC) en vue de coordonner la planification des audits, la fourniture régulière de rapports d'audit et l'échange de méthodologie, ainsi que de partager les opportunités de formation.

L'IAS et l'IAC partagent une définition commune de l'univers d’audit et de la méthodologie d'évaluation des risques. Le réseau des IAC, présidé par l'IAS (Auditnet), continue de fournir une plateforme efficace pour harmoniser l'approche d'audit interne au sein de la Commission.

Un programme de formation professionnelle des auditeurs internes a été mis en place au sein de la Commission. Il comprend un cours sur la prévention des fraudes réalisé par l'OLAF.

Mise en œuvre du plan d'audit stratégique de l'IAS

Le plan d’audit stratégique 2007-2009 de l’IAS a été actualisé en 2009 pour tenir compte des résultats de l'évaluation des risques annuels de gestion et d'autres changements intervenus dans les environnements internes et externes (par exemple les changements dans le fonctionnement, les actions, les programmes, les systèmes et les contrôles de l'organisation).

À la fin du cycle de planification 2007-2009, les systèmes de contrôle interne de la Commission, qui couvrent 56 % de l'univers d’audit financier (66 % des engagements budgétaires de 2009), devront avoir fait l'objet d'un audit de la part de l'IAS ou des IAC. Le taux de couverture atteint sera calculé une fois que tous les IAC auront transmis les chiffres actualisés. L'IAS a également mené un certain nombre d'audits dans le domaine non financier (par exemple, la continuité de l’activité et la gestion des risques).

En 2009, l'IAS a réalisé 87 % de son programme de travail, ce qui représente 100 % des engagements C1[3] et 66 % des engagements C2[4]. Au total, 67 rapports ont été remis (34 rapports d’audit, 32 rapports de suivi et un rapport de consultance). Une liste complète est jointe en annexe.

Acceptation des recommandations et perception du travail de l'IAS

En 2009, le taux d'acceptation des recommandations d’audit par les entités auditées était de 98,8 %.

[pic]

* toutes les recommandations sauf deux «très importantes» et une «importante» ont été acceptées.

Le feedback de satisfaction des entités auditées sur la conduite des audits individuels a produit un score moyen de 1,71 sur une échelle descendante allant de 1 (plus fort) à 4 (plus faible), contre 1,74 pour 2008 et 1,86 pour 2007. Selon une enquête effectuée au début de 2010, 78,8 % des parties prenantes estiment que l'IAS présente et communique une vision claire dans le domaine de la gouvernance et du contrôle interne, 90 % considèrent que les audits ont été exécutés de façon honnête, objective et équitable, et 76,3 % sont d'avis que les recommandations de l'IAS sont d'une utilité directe (alors qu'elles étaient 61,5 % à le penser en 2008 et 48,8 % en 2007). Globalement, elles sont 90 % à estimer que le travail de l'IAS contribue à la qualité des systèmes de contrôle et de gestion au sein de la Commission et de ses agences exécutives.

PRINCIPALES CONSTATATIONS ET RECOMMANDATIONS DE L'IAS

Continuité de l’activité

La pertinence et l'efficacité de la gestion de la continuité de l’activité (Business Continuity Management – BCM) a été évaluée dans quatre services. Ceux-ci ont reconnu que la BCM est un processus évolutif qui n'a pas encore atteint sa vitesse de croisière. Des efforts significatifs ont été réalisés depuis 2006 pour le développer, le mettre en œuvre et l'améliorer. Toutefois, l'IAS a estimé qu'il était nécessaire d'améliorer la vision d'ensemble de l'institution et de renforcer l'orientation générale. L'IAS a recommandé de confier la responsabilité de la mise en œuvre de ces recommandations à un organe de supervision adapté ou à une fonction dirigeante. Le service horizontal chargé de la BCM devrait fournir davantage d'éléments d'orientation sur la manière de réaliser une analyse des incidences sur les activités sur la base d'une évaluation des risques, renforcer la coordination des questions horizontales et interdépendantes et améliorer la planification de la continuité de l’activité. Il est nécessaire d'avoir une vision globale, au niveau institutionnel, de la planification par les services de la continuité de l’activité. Afin d'assurer cette vision globale, il convient d'établir une liste complète des activités critiques. Ces plans devraient être régulièrement testés en pratique et un programme d'exercice de la BCM au niveau de l'institution devrait être élaboré et prévoir des exercices de simulation périodiques obligatoires.

Gestion des risques

L'actuel cadre de gestion des risques a été introduit en 2005. Il s'accompagne d'un plan d'action à mettre en œuvre entre 2005 et 2007. La mission d’audit conduite en 2009 dans deux services horizontaux et deux services opérationnels a évalué à la fois la pertinence du cadre de gestion des risques et l'efficacité de sa mise en œuvre.

L'audit a confirmé que le cadre de gestion des risques de la Commission était conforme aux normes internationalement reconnues, par exemple le modèle COSO-Enterprise Risk Management, et qu'il constituait une base solide pour la gestion des risques.

L'IAS a recommandé un renforcement significatif du rôle des services centraux afin d'avoir un aperçu effectif de la mise en œuvre de la gestion des risques au sein de la Commission et de garantir la prise en compte totale des risques horizontaux et le diagnostic correct des risques pesant sur l'institution dans son ensemble. Il a recommandé aux services centraux de promouvoir les meilleures pratiques dans le domaine de la gestion des risques, d'analyser les risques critiques rapportés par les DG ainsi que les réponses managériales associées, et d'adresser une version consolidée de leur analyse au Collège.

Une clarification des concepts clés (comme l'évaluation des risques critiques à la fois au niveau inhérent et résiduel) et des lignes directrices supplémentaires (comme l'application du concept de tolérance aux risques et la prise en compte de risques émanant de la dépendance à des partenaires extérieurs) sont nécessaires pour améliorer la gestion et l'établissement de rapports sur les risques.

Les DG opérationnelles doivent renforcer leur gestion des risques et en faire un outil efficace intégré dans leur processus de gestion.

Gestion des marchés publics et des subventions

Trois nouveaux audits et cinq suivis d'audits ont été menés sur la gestion des marchés publics et des subventions dans les politiques internes.

En ce qui concerne les procédures de passation des marchés publics du Centre commun de recherche (CCR), il existe des risques inhérents associés à sa structure décentralisée et à la spécificité de ses activités. Une exposition particulière au risque provient du traitement de matières nucléaires et du fonctionnement d'installations de recherche nucléaire. L'IAS a recommandé des améliorations dans le processus de planification des marchés publics, la documentation des dossiers de passation des marchés publics, les contrôles ex post, l'orientation et le suivi des exceptions.

Concernant les subventions accordées par la DG ESTAT, il a été proposé de renforcer les évaluations ex ante pour les grands projets, de renforcer l'évaluation au cours de la préparation du processus d'attribution et de simplifier la base sur laquelle sont calculés les coûts qui incombent à la Commission.

Concernant la gestion des subventions accordées dans le cadre de la facilité de Schengen, il est proposé d'améliorer la qualité des rapports inclus dans les rapports d'activité annuels JLS en intégrant un résumé des principaux contrôles en place pour les programmes mis en œuvre dans le cadre d'une gestion décentralisée, et en présentant les principaux indicateurs de performance requis pour la légalité et la régularité des opérations sous-jacentes. Il a été estimé que la base juridique des vérifications effectuées dans le cadre de la facilité de Schengen manquait de clarté. Le faible taux de mise en œuvre de la «facilité de Schengen 2» en Bulgarie et Roumanie signifie qu'au moment de l'audit des activités essentielles visant à améliorer l'efficacité des contrôles aux frontières extérieures de l'UE n'avaient pas encore été effectuées ou avaient été retardées. La Bulgarie risquait également de ne pas mettre pleinement en œuvre le budget prévu pour la «facilité de Schengen 2». La DG JLS devrait renforcer le suivi des progrès de ce pays en élaborant un plan d'action en accord avec les autorités de cet État membre et envisager de concevoir un plan limitant la perte des engagements prévus lorsque les actions n'ont pas pu être réalisées.

Concernant les contrôles mis au point par la DG Recherche dans le cadre du septième programme-cadre de recherche (FP7), l'IAS a conseillé d'améliorer les stratégies de contrôle. Tout en reconnaissant que le cadre législatif met l'accent sur la simplification et la réduction des contrôles ex ante des bénéficiaires, les audits ont révélé la nécessité de parvenir à un équilibre efficace entre les mesures préventives et les contrôles ex post. L'IAS a recommandé la réalisation de vérifications plus sélectives et, le cas échéant, fondées sur les risques, et l'élaboration de stratégies claires en matière de prévention et de détection des fraudes. Les mécanismes de sanction prévus par les règlements doivent aussi être appliqués dans la pratique afin d'en garantir l'effet dissuasif.

Agences exécutives

Deux audits ont été menés sur le budget opérationnel délégué aux agences exécutives et deux audits de suivi ont eu lieu dans des agences exécutives. Il convient de veiller avec une attention particulière à ce que le transfert des tâches entre les DG et les agences exécutives nouvellement créées se fasse de manière claire et organisée et à ce que la division des tâches entre elles soit clairement établie. L'IAS a recommandé d'établir un protocole d'accord entre chaque DG parente et chaque agence exécutive, ainsi qu'une stratégie claire et formalisée au sein de chaque DG parente pour le suivi de la décharge de l'agence exécutive de ses responsabilités concernant les dépenses opérationnelles.

Après ces deux audits, la mise en place d'un système intégré global de gestion des informations a été recommandée afin d'améliorer les données servant de base au suivi et aux rapports relatifs aux programmes gérés par les agences exécutives.

L'IAS a recommandé à l’agence exécutive pour la compétitivité et l'innovation (AECI) de tester son plan de continuité des activités afin de garantir l'efficacité de sa mise en œuvre. Il a également noté que le fait de limiter l'accès aux systèmes informatiques et aux services de sécurité de la Commission pouvait avoir une incidence négative sur la continuité des activités des agences exécutives en raison de leur forte dépendance à certains de ces systèmes.

Questions relatives aux technologies de l'information (TI)

À la demande de l'APC, deux lettres de recommandations ont été publiées. Elles résument les points saillants des audits réalisés ces dernières années sur les grands systèmes informatiques et sur les systèmes informatiques institutionnels[5].

Pour les grands projets informatiques , les points suivants ont été mis en avant: renforcer les procédures de gestion des risques informatiques par une évaluation régulière et détaillée des risques; développer et appliquer une méthodologie formalisée de gestion de projet pour toutes les grandes applications informatiques; contrôler plus étroitement la performance et la qualité des contractants informatiques; et mettre en œuvre une procédure complète et formalisée pour gérer les évolutions des systèmes informatiques. Il est important notamment de disposer d'une planification des marchés publics informatiques et d'une politique d'approvisionnement adéquates pour éviter la captivité technique et une interruption de service en cas de changement de prestataires de services. Il convient de renforcer la supervision, au niveau de l'institution, afin de piloter les principales évolutions informatiques.

Les grands systèmes et les systèmes informatiques institutionnels sont exposés aux risques suivants: non-conformité aux règles applicables à la gouvernance informatique de l'institution; incapacité à fournir les résultats escomptés dans les temps et dans les limites du budget; mécontentement des utilisateurs; utilisation inefficace des ressources; atteinte à l’image de l’institution.

Pour les systèmes informatiques institutionnels , des facteurs de risques supplémentaires ont été décelés, liés principalement à la nécessité de mettre en place une gouvernance adéquate au niveau central et local: orientation et supervision de l'institution inadéquates en ce qui concerne l'évolution des systèmes d'information; accords de gouvernance peu clairs; participation inadéquate des acteurs concernés au processus décisionnel; et répartition inappropriée des coûts engendrés par l'exécution de projets informatiques. Si ces risques venaient à se concrétiser, ils pourraient mettre en danger la mise en œuvre d'une stratégie cohérente et efficace de la Commission en matière de TI et nuire à la réalisation des objectifs du projet. La Commission risque de ne pas utiliser efficacement des ressources humaines et budgétaires significatives.

L'IAS a recommandé qu'un organe adéquat soit nommé responsable de la définition de la stratégie et des priorités de la Commission en matière de TI à moyen et long terme et que cette mission soit éventuellement confiée au groupe de pilotage de la GPA qui contrôlerait leur mise en œuvre effective. Ces priorités informatiques, qui devront être fixées pour des systèmes financés à la fois par des crédits opérationnels et administratifs, devraient former la base des stratégies individuelles de chaque DG dans ce domaine («schémas directeurs») et des procédures de dotation et de décharge budgétaires. Les responsabilités en matière de gestion des systèmes informatiques institutionnels devraient être mieux définies et le processus de décision y afférent devrait être renforcé en réglementant la participation de chacun des principaux acteurs impliqués. L'actuelle structure de gouvernance devrait être renforcée au niveau du projet, du domaine et de l'institution, et devrait inclure l'élaboration de procédures spécifiques pour faire remonter les désaccords entre services jusqu'au groupe de pilotage de la GPA. Le processus budgétaire et le contrôle des coûts devraient également être renforcés.

Gestion partagée

Les audits de l'IAS se sont concentrés sur les responsabilités de supervision des DG dans les principaux domaines d'action que sont l'agriculture, la pêche et la cohésion, englobant des audits des phases de démarrage des stratégies de contrôle pluriannuelles des différentes DG pour la période de programmation 2007-2013.

Dans le domaine de l'agriculture, un audit s'est concentré sur les restitutions d'aides directes aux États membres et sur le suivi de la mise en œuvre du système intégré de gestion et de contrôle (SIGC) dans des États membres spécifiques où de sérieuses faiblesses avaient été décelées, ainsi que dans un pays candidat. L'IAS a conclu que le déclenchement, la vérification et l'autorisation de paiements aux États membres fonctionnaient de façon satisfaisante et que, ces dernières années, la Commission avait contrôlé de très près la mise en œuvre du SIGC dans les pays examinés. Concernant le développement rural, l'IAS a estimé que le système de contrôle interne en place fournit une assurance raisonnable concernant la réalisation des objectifs de l'institution fixés pour la période de programmation 2007-2013 du FEADER. Toutefois, la coordination interne pourrait être améliorée afin d'assurer que les informations pertinentes concernant les résultats d'audit sont systématiquement mises à disposition des unités géographiques de développement rural, et que cette information soit régulièrement consultée.

En ce qui concerne le Fonds européen pour la pêche, l'IAS a recommandé à la DG MARE de renforcer les processus existants pour contrôler la mise en œuvre dans des États membres et fournir une documentation de meilleure qualité. La DG MARE devrait adopter un plan d'audit détaillé et mettre en place des accords de travail documentés avec la DG REGIO et la DG EMPL lorsqu'elles sont en rapport avec les mêmes autorités nationales d'audit. L'IAS lui a également recommandé d'inclure dans sa stratégie d'audit des procédures de détection et de prévention de la fraude.

Dans le domaine de la cohésion, l'IAS a examiné les contrôles menés par la DG REGIO et la DG EMPL sur les systèmes de gestion et de contrôle annoncés par les États membres pour la période de programmation 2007-2013. L'IAS a constaté que, bien que les vérifications aient été réalisées comme prévu, le processus a souffert de retards enregistrés par les services des États membres. L'IAS s'est montré préoccupé par la qualité de l'information fournie par les États membres et a recommandé aux DG d'en assurer le suivi au cours de la prochaine étape du processus d'obtention d’une assurance. L'IAS estime, comme la CCE, que la période de programmation n'est pas encore suffisamment avancée pour conclure que les changements de règles et de systèmes de supervision sont parvenus à réduire le nombre d'erreurs dans les paiements au niveau du bénéficiaire final. Les audits ont souligné la nécessité pour les DG de définir leurs propres stratégies d'audit de manière plus explicite, en particulier dans quelle mesure elles tiennent compte des résultats du travail d'audit des États membres. Il est possible d’adopter une approche d'audit mieux coordonnée entre la Commission et les États membre, ou même de réaliser des audits communs, notamment lorsque différents audits concernent les mêmes autorités nationales d'audit.

Gestion des actifs

Un audit du processus d'inventaire géré par l'OIB (excluant le centre de gestion de l'équipement informatique) a montré que la base juridique était obsolète et que l'on manquait de preuves pour démontrer que les contrôles périodiques d'inventaire requis avaient toujours été réalisés. L'IAS a souligné que la clarification des rôles et des responsabilités, la documentation des procédures et la coordination étaient des préalables importants pour l'efficacité du processus.

Les principaux résultats de l'audit mené sur le projet «Supply and Assets Management (SAM)» sont résumés dans la section consacrée aux questions informatiques.

Politiques extérieures

L'audit du budget de la politique étrangère et de sécurité commune (PESC) a montré qu'en raison du partage des responsabilités avec le Conseil, la Commission n'avait qu'une influence limitée sur la mise en œuvre et la capacité opérationnelles des actions de la PESC. L'IAS n'a pas été en mesure d'obtenir de garanties suffisantes concernant la gestion du budget de la PESC. Il a recommandé à la Commission de s'assurer du respect total des exigences juridiques relatives aux évaluations ex ante. Il serait possible de remédier aux retards observés au démarrage et dans la mise en œuvre des actions de la PESC, en coopération avec le Conseil, en améliorant les éléments d'orientation (manuels de procédure), en standardisant les procédures, et en fournissant un ensemble d'outils. L'IAS a décelé un risque significatif de sous-exécution des dépenses dans les missions de gestion civile des crises de la PSDC et a indiqué qu'il était nécessaire de mettre en place une stratégie pour les missions de terrain, d'harmoniser les rapports et de clôturer les procédures dans les délais.

Un audit de la gestion financière du programme d'aide alimentaire a permis de s'assurer que les objectifs fixés avaient été correctement atteints. Les audits concernant la politique de voisinage et la clôture des programmes CARD et PHARE ont donné l'occasion de faire des recommandations en vue d'améliorer les contrôles, et de souligner les risques liés à un renouvellement important du personnel.

Suivi des recommandations d'audits précédents

Les services audités ont conçu des plans d'action pour mettre en œuvre les recommandations de l'IAS. L'application de ces plans fait l'objet d'un suivi par «Issue-track» et d'une vérification par des audits de suivi.

Sur les 34 audits de suivi finalisés en 2009, 24 ont conclu que toutes les recommandations faites dans les rapports d'audit initiaux avaient été mises en œuvre et six autres ont conclu que seule une recommandation n'avait pas encore été pleinement mise en œuvre.

Des améliorations supplémentaires sont à noter dans le taux global de mise en œuvre des recommandations faites dans les audits internes. Les dernières statistiques (datant du 29 janvier 2010) montrent un retard de mise en œuvre supérieur à six mois pour 26 % des recommandations «très importantes» (41 sur 159) alors que ce retard touchait 29 % d'entre elles l'année précédente.

CONCLUSIONS

Sur la base des audits et de travaux connexes finalisés en 2009, il est possible de tirer les conclusions suivantes:

Conclusion 1: De nouveaux progrès ont été réalisés, mais des améliorations supplémentaires restent nécessaires

L'IAS a pu constater de constantes améliorations dans l'environnement de contrôle interne de la Commission, en raison des efforts consentis pour parvenir à une DAS sans réserves (déclaration d'assurance). Toutefois, l'IAS a noté que des progrès supplémentaires étaient encore nécessaires sur plusieurs aspects de la gestion financière:

- gestion partagée:

- Concernant la gestion des subventions accordées dans le cadre de la facilité de Schengen II, et malgré l'extension du contrat passé et les changements décidés concernant la répartition des fonds entre la part Schengen et les flux de trésorerie, les profils de risque devront être mieux définis, les audits de clôture devront être adaptés en conséquence et JLS devra contrôler étroitement l'exécution budgétaire;

- les services de la Commission responsables des politiques de gestion des fonds structurels doivent améliorer la coordination générale des stratégies d'audit, optimisant ainsi la couverture des autorités d'audit habituelles. Les résultats de l'enquête lancée en 2009 pour examiner le travail des autorités d'audit permettront à la Commission de s'appuyer sur les avis recueillis et de réduire, en conséquence, ses propres audits sur le terrain.

- gestion directe:

- Concernant le processus d'inventaire, la base juridique a été révisée et les exigences relatives aux contrôles doivent être pleinement mises en œuvre par l'OIB;

- Malgré les points forts de son groupe consultatif pour les marchés publics, le processus de passation des marchés publics du CCR doit être sensiblement amélioré, notamment en ce qui concerne la documentation des exceptions, la planification, la qualité des contrôles ex post et les justifications fournies concernant la captivité du marché.

- Dans le domaine de la recherche, l'attention s'est portée sur la nécessité de concevoir une stratégie de détection et de prévention de la fraude ainsi que d'améliorer les orientations sur la mise en œuvre de contrôles relatifs à la viabilité financière. Toutefois, un certain nombre de progrès ont déjà été réalisés dans les systèmes de contrôle interne pour la gestion du septième programme-cadre de recherche (par exemple, l'équilibre entre les contrôles ex ante et ex post et la mise au point d'une procédure pour la gestion des Fonds de garantie).

- Gestion centralisée indirecte – mise en œuvre des actions PESC: des progrès ont été réalisés concernant les exigences liées à la gestion centralisée indirecte à remplir par les missions PSDC pour la mise en œuvre, le soutien et le contrôle de ces missions, ainsi que pour la procédure de clôture des contrats PSDC. D'autres actions doivent encore être mises en œuvre par la DG RELEX pour respecter complètement les exigences de la gestion centralisée indirecte (évaluations en «six piliers» dans le cadre de l'article 56 du règlement financier). De plus, les éléments d'orientation et la méthodologie relatifs à l'évaluation des missions de gestion de crises civiles et à l'élaboration de systèmes de gestion financière pour les missions devront être développés, et les contrôles ex post de ces missions être renforcés.

Selon l'IAS, une vue d'ensemble au niveau de l'institution est nécessaire pour que des processus communs, comme l'analyse de risques et la gestion de la continuité de l’activité, puissent protéger efficacement l'institution dans son ensemble. Une vue d'ensemble est également nécessaire pour garantir une saine gestion financière des investissements dans les systèmes informatiques grâce à des économies d'échelle et à la recherche de solutions communes à des exigences communes.

L'IAS recommande de confier à des organes appropriés la responsabilité d'obtenir cette vue d'ensemble et de faire des recommandations adéquates tout en prenant garde à ne pas diluer la responsabilité de la mise en œuvre de chaque processus.

La Commission considère que la supervision, au niveau de l'institution, est déjà en place ou prévue dans le cadre de certaines procédures, grâce notamment au comité d'analyses d'impact, au groupe de pilotage de la GPA, au réseau des correspondants de contrôle interne ou à l'examen par les pairs des rapports d'activité annuels, ainsi qu'à un vaste ensemble de réseaux, d'ateliers, et d'assistance en ligne aux services dans ces domaines.

Elle considère également que toute attribution de ce type de responsabilités aux services centraux diluerait la responsabilité de chaque directeur général et de chaque chef de service.

Conclusion 2: Gestion des risques

L'IAS a noté les progrès réalisés depuis l'adoption par la Commission d'un cadre de gestion des risques en 2005, mais a considéré que sa mise en œuvre devait être mieux intégrée dans les processus de gestion de chaque service. Cela devrait se combiner avec le renforcement de la vision globale des risques horizontaux et l'amélioration de l'orientation au niveau central.

Les services centraux n'ont pas pu accepter cette recommandation dans son ensemble, car ils ont considéré qu'une partie de celle-ci était incompatible avec le cadre de gouvernance de la Commission. La Commission considère qu'au sein de la structure de gouvernance actuelle, les services centraux fournissent déjà une vision globale des risques horizontaux et des orientations sur le cadre de gestion des risques et sa mise en œuvre.

Conclusion 3: Continuité de l’activité de l'institution

L'audit de l'IAS a montré que la Commission doit maintenir ses efforts en vue de garantir la continuité de l’activité en cas de graves perturbations, notamment en renforçant le pilotage, la coordination, et en testant la reprise de toutes les activités critiques. La Commission partage ce point de vue.

Conclusion 4: Approche relative aux systèmes informatiques institutionnels

L'IAS a démontré qu'il était nécessaire de renforcer davantage la prise de décision stratégique en matière de TI et les processus de gestion de projets informatiques afin de garantir que les projets informatiques sont conformes aux objectifs de la Commission, offrent le meilleur rapport coûts-bénéfices et sont mis en œuvre dans les délais. La Commission partage cette analyse.

Observations finales

Le service d'audit interne a présenté, en avril 2010, son plan d'audit stratégique pour la période 2010-2012. Son objectif est de couvrir les principaux risques décelés et de parvenir à la couverture nécessaire pour soutenir l'opinion générale de l'auditeur interne sur la gestion financière.

[1] Certains rapports achevés au début de l'année 2009 ont été inclus dans le rapport 2008 et ne sont donc pas inclus une nouvelle fois dans le rapport 2009. De même, certains rapports projetés en 2009, mais achevés au début de l'année 2010, sont inclus dans le rapport 2009.

[2] COM (2010) 0281 du 25 mai 2010.

[3] Les engagements C1 sont ceux qui doivent être achevés au cours de l'année.

[4] Les engagements C2 sont ceux qui peuvent être reportés sur l'année suivante, en particulier lorsque la mise en œuvre des plans d'action est insuffisante pour justifier un audit de suivi, ou lorsque l'objet d'un audit a subi du retard.

[5] Systèmes utilisés par un grand nombre d'utilisateurs en dehors de la DG d'origine.