C 167/1

OBAVIJEST KOMISIJE

Smjernice o godišnjim revizorskim izvješćima koja se dostavljaju u skladu s člankom 15. stavkom 8. Direktive 2014/40/EU u kontekstu sustava sljedivosti za duhanske proizvode

(2020/C / )

(2020/C 167/01)

IZJAVA O OGRANIČENJU ODGOVORNOSTI: Svrha je ovog dokumenta dati smjernice ovlaštenom revizoru o opsegu revizije i postupku za podnošenje godišnjeg izvješća o reviziji. On nije pravno obvezujući, ali pruža općenite smjernice s preporukama i razmišljanja o primjerima najbolje prakse. Ovim se Smjernicama ne dovode u pitanje nacionalni propisi.

1. Uvod

Kao odgovor na problem nezakonite trgovine, člankom 15. Direktive 2014/40/EU Europskog parlamenta i Vijeća (1) propisana je uspostava sustava sljedivosti duhanskih proizvoda na razini EU-a. Sustav je operativan od 20. svibnja 2019.

Kao dio tog sustava, člankom 15. stavkom 8. Direktive 2014/40/EU utvrđeno je da države članice osiguravaju da proizvođači i uvoznici duhanskih proizvoda sklapaju ugovore o pohrani podataka s neovisnom trećom stranom („treća strana koja je pružatelj tih usluga”) u svrhu uspostave sustava za pohranu podataka; u tim objektima pohranjuju se podaci o duhanskim proizvodima pojedinačnih proizvođača i uvoznika („primarni repozitorij”).

Kako bi se zaštitio neovisan rad sustava sljedivosti, člankom 15. stavkom 8. Direktive 2014/40/EU utvrđeno je da aktivnosti primarnog repozitorija i treće strane koja je pružatelj tih usluga mora pratiti vanjski revizor. Tog revizora predlaže i plaća proizvođač duhanskih proizvoda, a odobrava Komisija. Vanjski revizor svoju ocjenu dostavlja nadležnim tijelima i Komisiji u godišnjem izvješću, u kojemu se posebno procjenjuju sve nepravilnosti u pogledu pristupa.

Svrha je ovog dokumenta dati smjernice ovlaštenom revizoru o opsegu revizije i postupku za podnošenje godišnjeg izvješća o reviziji. Trebalo bi ga čitati zajedno s Provedbenom uredbom Komisije (EU) 2018/574 (2), kojom su utvrđeni tehnički zahtjevi za uspostavu i rad sustava sljedivosti, uključujući za primarne repozitorije, i Delegiranom uredbom Komisije (EU) 2018/573 (3) u kojoj su definirani ključni elementi ugovora o pohrani podataka koji se sklapaju u okviru sustava sljedivosti duhanskih proizvoda.

Ovaj dokument ponuđen je kao alat za pomoć ovlaštenim revizorima; radi se o smjernicama koje nisu obvezujuće i ne stvaraju nikakve nove pravne obveze. U mjeri u kojoj bi se ovim smjernicama mogli tumačiti pravni akti, stajalištem Komisije ne dovodi se u pitanje bilo koje tumačenje Direktive 2014/40/EU koje bi mogao objaviti Sud Europske unije.

2. Opći kontekst revizija

Svaki primarni repozitorij o kojem je proizvođač sklopio ugovor podliježe godišnjem postupku revizije. Ako ista treća strana koja je pružatelj tih usluga vodi dva ili više primarnih repozitorija, za svaki od tih repozitorija trebala bi se provesti zasebna revizija i dostaviti zasebno izvješće o reviziji.

Trebalo bi provoditi revizije primarnog repozitorija i s njim povezanih usluga, što uključuje procjenu ispunjava li treća strana koja je pružatelj tih usluga (i, ako je primjenjivo, njegovi podizvođači) relevantne zahtjeve iz Direktive 2014/40/EU, Provedbene uredbe (EU) 2018/574 i Delegirane uredbe (EU) 2018/573.

Svaki proizvođač ili uvoznik mora obavijestiti Komisiju o revizoru kojega predlaže za reviziju svojeg primarnog repozitorija i odgovarajuće treće strane koja je pružatelj tih usluga. Svi predloženi revizori podliježu odobrenju Komisije.

3. Opseg revizija

Područje primjene i cilj

Izvješća o reviziji dostavljaju se kako bi se nadležna nacionalna tijela i Komisiju izvijestilo o nalazima revizora, posebno u pogledu svih nepravilnosti u pogledu pristupa podacima pohranjenima u primarnim repozitorijima.

U izvješću o reviziji svakom od šest područja navedenih u nastavku trebalo bi posvetiti posebno poglavlje. U svakom poglavlju trebale bi biti navedene točke provjere odgovarajuće domene, kako su navedene na kontrolnom popisu u Prilogu.

Revizije bi trebalo provoditi u skladu s tim kontrolnim popisom, kojim su utvrđene obvezne domene i točke provjere u skladu s normom ISO/IEC 27001:2013 o sustavima upravljanja informacijskom sigurnošću (4). U tu svrhu revizori bi trebali uzeti u obzir da se u članku 10. Delegirane uredbe Komisije (EU) 2018/573 upućuje na ISO/IEC 27001:2013 kao preferiranu normu za upravljanje informacijskom sigurnošću u kontekstu upravljanja primarnim repozitorijima.

Područje Ciljevi Organizacijska i fizička sigurnost Uspostaviti okvir za upravljanje informacijskom sigurnošću unutar organizacije. Osigurati da zaposlenici i izvođači razumiju svoje odgovornosti i da su prikladni za uloge koje im se povjeravaju. Spriječiti neovlašten fizički pristup, nanošenje štete ili uplitanje u organizaciju, uključujući podatke i sredstva za obradu informacija. Spriječiti gubitke, oštećenja, krađe ili ugrožavanje imovine i prekide u radu organizacije. Sigurnost operacija Osigurati ispravan i siguran rad objekta za obradu podataka. Zaštititi od gubitka podataka. Bilježiti događaje i generirati dokaze. Osigurati integritet operativnih sustava. Spriječiti iskorištavanje tehničkih slabih točaka. Kontrola pristupa (korisnici i aplikacije) Ograničiti pristup informacijama i objektima za obradu podataka. Osigurati pristup ovlaštenom korisniku i spriječiti neovlašteni pristup sustavu i uslugama. Učiniti korisnike odgovornima za zaštitu vlastitih podataka za autentifikaciju. Spriječiti neovlašteni pristup sustavima i aplikacijama. Osigurati da je informacijska sigurnost osmišljena i da se provodi unutar razvojnog ciklusa informacijskih sustava. Sigurnost komunikacija Osigurati ispravnu i djelotvornu upotrebu kriptografije za zaštitu povjerljivosti, autentičnosti i/ili cjelovitosti informacija. Osigurati zaštitu informacija u mrežama i pripadajućim pratećim objektima za obradu podataka. Održavati sigurnost informacija koje se prenose unutar organizacije i unutar vanjskih subjekata. Kontinuitet poslovanja Osigurati dosljedan i djelotvoran pristup upravljanju incidentima povezanima sa sigurnošću informacija, uključujući komunikaciju o sigurnosnim događajima i sigurnosnim slabostima. Kontinuitet informacijske sigurnosti trebao bi biti ugrađen u sustave upravljanja kontinuitetom poslovanja organizacije. Osigurati dostupnost objekata za obradu podataka. Izbjeći kršenje pravnih, zakonskih, regulatornih ili ugovornih obveza povezanih s informacijskom sigurnošću te neispunjavanje sigurnosnih zahtjeva. Integritet imovine i podataka Utvrditi imovinu organizacije i primjerenih odgovornosti za njezinu zaštitu. Osigurati odgovarajuću razinu zaštite podataka. Spriječiti neovlašteno otkrivanje, mijenjanje, uklanjanje ili uništavanje informacija pohranjenih na nosačima podataka.

Zaključci i preporuke

Treba navesti zaključke revizije za svaku točku provjere navedenu u kontrolnoj listi.

U izvješću o reviziji trebalo bi naglasiti i podrobno objasniti nalaze koji se odnose na nesukladnosti ili druge utvrđene rizike. Nalaze bi trebalo popratiti primjerenim preporukama u kojima se navode mjere potrebne da bi se eliminirali problemi i nedostaci utvrđeni tijekom revizije.

4. Postupovni aspekti

Učestalost

Revizori su dužni podnositi izvješća o reviziji na godišnjoj osnovi. Budući da je sustav sljedivosti postao operabilan 20. svibnja 2019., revizori se pozivaju da svoje prvo godišnje izvješće o reviziji koje obuhvaća prvu godinu primjene sustava sljedivosti (tj. od 20. svibnja 2019. do 19. svibnja 2020.) dostave do 30. studenoga 2020. Nakon toga revizori svoja godišnja izvješća za sljedeće godine primjene sustava trebaju podnositi do kraja listopada svake kalendarske godine.

Daljnje postupanje po reviziji

Ako se provodi daljnje postupanje kako bi se procijenilo je li treća strana koja je pružatelj usluga na odgovarajući način provela preporuke iz godišnjeg izvješća o reviziji, revizor se poziva da, ako je moguće, rezultate dostavi Komisiji i nacionalnim nadležnim tijelima u roku od tri mjeseca od podnošenja godišnjeg izvješća o reviziji.

5. Postupovni aspekti izvješća o reviziji

Informacije o revizorima

Imena revizora i, ako je to primjenjivo, povezanog revizorskog društva ili povezanih revizorskih društava, trebalo bi navesti u uvodu u izvješće o reviziji.

Oblik

Izvješće o reviziji treba dostaviti u elektroničkom obliku (pretraživ, nezaštićeni PDF).

Revizori se pozivaju da godišnja izvješća dostavljaju po mogućnosti na engleskom jeziku.

Postupak podnošenja

Godišnje izvješće o reviziji i sva izvješća o daljnjim postupanjima nakon godišnjeg izvješća treba dostavljati elektroničkim putem e-porukom na adresu SANTE-TT-SW@ec.europa.eu sa sljedećim naslovom: „Izvješće o reviziji [daljnjem postupanju nakon izvješća o reviziji] za [godina] – [naziv proizvođača naručitelja] – [naziv treće strane koja je pružatelj usluga, nad kojom se vrši revizija]”

Transparentnost

U cilju promicanja opće transparentnosti i pouzdanosti sustava sljedivosti duhanskih proizvoda, Komisija poziva proizvođače duhanskih proizvoda da se na dobrovoljnoj bazi dogovore sa svojim revizorima o tome da se Komisiji dostavlja i javna verzija njihova izvješća o reviziji, bez osobnih i poslovno osjetljivih podataka.

Takve javne verzije izvješća o reviziji bit će objavljene na posebnoj internetskoj stranici Europske komisije.

(1) Direktiva 2014/40/EU Europskog parlamenta i Vijeća od 3. travnja 2014. o usklađivanju zakona i drugih propisa država članica o proizvodnji, predstavljanju i prodaji duhanskih i srodnih proizvoda i o stavljanju izvan snage Direktive 2001/37/EZ (SL L 127, 29.4.2014., str. 1.).

(2) Provedbena uredba Komisije (EU) 2018/574 od 15. prosinca 2017. o tehničkim standardima za uspostavu i rad sustava sljedivosti duhanskih proizvoda (SL L 96, 16.4.2018., str. 7.).

(3) Delegirana uredba Komisije (EU) 2018/573 od 15. prosinca 2017. o ključnim elementima ugovora o pohrani podataka koji se sklapaju u okviru sustava sljedivosti duhanskih proizvoda (SL L 96, 16.4.2018., str. 1.).

(4) ISO/IEC 27001:2013. Informacijska tehnologija – sigurnosne tehnike – sustavi upravljanja informacijskom sigurnošću – zahtjevi. Zahtjevi utvrđeni u normi ISO/IEC 27001:2013 općenite su prirode i osmišljeni su tako da budu upotrebljivi za sve organizacije, bez obzira na njihovu vrstu, veličinu ili prirodu.