COMMISSIONE EUROPEA Bruxelles, 15.9.2015 COM(2015) 441 final RELAZIONE DELLA COMMISSIONE AL PARLAMENTO EUROPEO E AL CONSIGLIO Relazione annuale riguardante le revisioni contabili interne effettuate nel 2014 presentata all'autorità competente per il discarico (articolo 99, paragrafo 5 del regolamento finanziario) {SWD(2015) 170 final}



1. Introduzione 2. Missione dello IAS: Indipendenza, obiettività e responsabilità - Finalità e oggetto della presente relazione 3. Sintesi della produzione di audit 3.1. Attuazione del piano di audit 2014 3.2. Dati statistici sulle raccomandazioni dello IAS 4. Principali risultati e raccomandazioni 4.1. Impegni orizzontali 4.1.1. Audit riguardante l’efficienza e l’efficacia della fase di pianificazione del processo di selezione – Più DG (EPSO, DG HR, DG CNECT, DG SANTE (ex-SANCO), DG TAXUD 4.1.2. Audit informatico orizzontale: audit riguardante la gestione e il monitoraggio dei servizi informatici esternalizzati (gestione del contratto) – Più DG (DG BUDG, DG DIGIT, DG HOME, PO, DG SANTE (ex-DG SANCO) 4.1.3. Audit riguardante i processi amministrativi a sostegno del Semestre europeo – Più DG (SG, SJ, DG COMM, DG COMP, DG ECFIN, DG EMPL, DG MARKT, DG TAXUD) 4.2. Agricoltura, risorse naturali e salute 4.2.1. Esame dell’analisi del divario della regolamentazione 2014-2020 in materia di Politica agricola comune, Fase 1 (DG AGRI) 4.3. Coesione 4.3.1. Esame dell’analisi del divario della regolamentazione 2014-2020 in materia di Fondi strutturali e d’investimento europei (fondi SIE) Fase 1 – Più DG (DG AGRI, DG EMPL, DG MARE, DG REGIO) 4.3.2. Analisi del divario della nuova legislazione/del progetto in materia di periodo di programmazione 2014-2020 dei Fondi strutturali e di investimento europei (Fondi SIE) Fase 2 – Più DG (DG EMPL, DG REGIO) 4.3.3. Audit riguardante i preparativi per l’utilizzo degli strumenti finanziari nella DG EMPL per il periodo 2014-2020 (DG EMPL) e audit riguardante i preparativi per l’utilizzo degli strumenti finanziari nella DG REGIO per il periodo 2014-2020 (DG REGIO) 4.3.4. Esame circoscritto dei calcoli e della relativa metodologia per il tasso di errore residuo della DG REGIO per l’esercizio 2013 (DG REGIO) 4.4. Ricerca, energia e trasporti 4.4.1. Esame dell’analisi del divario della legislazione concernente Orizzonte 2020 – Più DG (DG CNECT, DG ENER, DG MOVE, DG RTD)

4.4.2. Audit riguardante l’attuazione dei sistemi di controllo del 7° PQ (compresa la supervisione degli organismi esterni) nella DG CNECT (DG CNECT) 4.4.3. Audit riguardante l’attuazione dei sistemi di controllo del 7° PQ (compresa la supervisione degli organismi esterni) nella DG RTD (DG RTD) 4.4.4. Audit riguardante l’attuazione dei sistemi di controllo del 7° PQ nell’ERCEA (ERCEA) 4.4.5. Audit riguardante la gestione degli appalti nella DG JRC (DG JRC) 4.4.6. Esame circoscritto dei calcoli e della relativa metodologia per il tasso di errore residuo della DG CNET per l’esercizio 2013 (DG CNET) 4.5. Affari economici e finanziari 4.5.1. Audit riguardante i processi di gestione e pianificazione dei rischi nella DG ECFIN nel contesto della Nuova governance economica (DG ECFIN) 4.5.2. Audit riguardante la cooperazione della DG MARKT con i tre organismi di supervisione dei servizi finanziari (DG MARKT) 4.5.3. Audit riguardante il sistema di misurazione delle prestazioni nelle attività della DG TAXUD in materia di dogane (DG TAXUD) 4.6. Aiuti esterni, sviluppo e allargamento 4.6.1. Audit riguardante gli accordi di contributo stipulati con gli organi delle Nazioni unite e altre Organizzazioni internazionali (DG DEVCO) 4.6.2. Audit riguardante gli accordi di contributo stipulati con le organizzazioni internazionali (DG ECHO) 4.6.3. Audit riguardante il processo di consolidamento della garanzia di affidabilità nelle delegazioni dell’UE (DG DEVCO) 4.6.4. Audit riguardante il sostegno di bilancio nella DG DEVCO 4.6.5. Audit riguardante la strategia di controllo nel Servizio degli strumenti di politica estera (FPI) 4.7. Audit informatici 4.7.1. Audit congiunto IAS/strutture di audit interno AGRI riguardante la gestione dell’IT locale nella DG AGRI 4.7.2. Audit riguardante la governance informatica nella DG BUDG 4.7.3. Audit riguardante la gestione dell’accesso logico ai sistemi (finestre ECAS/LDAP/) nella DG DIGIT 4.7.4. Audit riguardante la gestione dei progetti informatici nella DG EAC (E4ALink ed EVE)

4.7.5. Audit congiunto IAS/strutture di audit interno riguardante la gestione dell’IT locale nella DG MARE 5. Consultazione dell’istanza della Commissione specializzata in irregolarità finanziarie 6. Conclusioni 7. Elenco delle sigle 1.Introduzione La presente relazione è finalizzata a informare l’autorità competente per il discarico riguardo all’attività svolta dal Servizio di audit interno (IAS) della Commissione, conformemente all’articolo 99, paragrafo 5, del regolamento finanziario. Essa si fonda sulla relazione elaborata dal revisore interno della Commissione a norma dell’articolo 99, paragrafo 3, del regolamento finanziario riguardante le relazioni di audit e consulenza che lo IAS ha portato a termine nel 2014 in riferimento alle direzioni generali (DG), ai servizi e alle agenzie esecutive della Commissione. Conformemente alla base giuridica, contiene una sintesi del numero e del tipo di controlli interni svolti, le raccomandazioni formulate e le misure adottate a seguito di tali raccomandazioni. 2.Missione dello IAS: Indipendenza, obiettività e responsabilità - Finalità e oggetto della presente relazione La missione dello IAS è contribuire alla sana gestione all’interno della Commissione europea sottoponendo ad audit i sistemi interni di gestione e controllo per valutarne l’efficacia al fine di migliorarli costantemente. La sua indipendenza è sancita dal regolamento finanziario e nel suo mandato, adottato dalla Commissione. Lo IAS rende conto di tutti i suoi audit al comitato di controllo degli audit. Lo IAS opera conformemente al regolamento finanziario nonché alle norme internazionali per la pratica professionale dell’audit interno e al codice deontologico dell’Istituto di revisori interni (Institute of Internal Auditors). Lo IAS non effettua audit dei sistemi di controllo degli Stati membri sui fondi della Commissione. Questo tipo di audit, che si svolge fino al livello dei singoli beneficiari, è di competenza dei revisori interni degli Stati membri, delle autorità di audit nazionali, di altre singole DG della Commissione e della Corte dei conti europea. Lo IAS svolge invece audit delle misure adottate dai servizi della Commissione per monitorare e sottoporre ad audit gli organismi degli Stati membri nonché altri organismi responsabili dell’erogazione di fondi dell’UE, come ad esempio le Nazioni unite. Conformemente al regolamento finanziario, lo IAS può svolgere tali missioni di controllo in loco, anche negli Stati membri. 3.Sintesi della produzione di audit 3.1.Attuazione del piano di audit 2014 Entro la data del 31 gennaio 2015 l’attuazione del piano di audit per l’esercizio 2014 ha raggiunto l’obiettivo del 100% degli impegni pianificati per gli audit della Commissione, dei servizi e delle agenzie esecutive. Lo IAS ha perfezionato 105 relazioni (rispetto a 87 relazioni nel 2013 e a 89 nel 2012) di cui 31 relazioni di audit, 67 relazioni di follow-up, 5 esami circoscritti, una valutazione del rischio informatico e una lettera di raccomandazioni. 3.2.Dati statistici sulle raccomandazioni dello IAS Nel 2014 lo IAS ha formulato 127 nuove raccomandazioni (di cui 50 ”molto importanti” e 77 “importanti”). Due raccomandazioni ritenute “importanti” non sono state accettate dai dirigenti e altre due raccomandazioni ritenute “molto importanti” lo sono state solo in parte. Lo IAS ha giudicato soddisfacenti tutti i piani d’azione adottati per dare seguito a tali raccomandazioni. Le entità oggetto di audit hanno riferito che all’inizio del 2015 era stato attuato il 78% delle raccomandazioni accettate formulate fra il 2010 e il 2014. Di tutte le raccomandazioni ritenute “molto importanti” o “essenziali” formulate nel periodo 2010-2014, 17 raccomandazioni “molto importanti” (il 2%) erano in ritardo di oltre sei mesi. Nessuna raccomandazione “essenziale” risulta in sospeso. Il comitato di controllo degli audit è stato periodicamente informato delle raccomandazioni “molto importanti” in ritardo di oltre sei mesi e, se del caso, ha rammentato ai servizi il loro obbligo di attuarle. Il numero totale di raccomandazioni accettate formulate nel periodo 2010-2014 per le quali lo IAS ha svolto audit di follow-up entro la fine del 2014 è di 640. L’attività di follow-up dello IAS ha confermato che le raccomandazioni erano state attuate in modo soddisfacente, contribuendo così a migliorare i sistemi di controllo nei servizi sottoposti ad audit. Lo IAS ha chiuso il 95% delle raccomandazioni oggetto di follow-up durante questo periodo. L’accluso documento di lavoro dei servizi della Commissione fornisce informazioni più dettagliate sui tassi di accettazione delle nuove raccomandazioni e sull’attuazione delle raccomandazioni relative al periodo 2010-2014.

4.Principali risultati e raccomandazioni 4.1.Impegni orizzontali 4.1.1.Audit riguardante l’efficienza e l’efficacia della fase di pianificazione del processo di selezione – Più DG (EPSO, DG HR, DG CNECT, DG SANTE (ex-SANCO), DG TAXUD Obiettivo generale dell’audit era valutare l’efficienza e l’efficacia dell’attuale fase di pianificazione del processo di selezione nel rispondere al fabbisogno di nuovo personale da parte delle Istituzioni dell’UE. L’audit ha riguardato i processi di pianificazione in atto presso l’EPSO e la Commissione europea. L’audit ha evidenziato che l’attuale fase di pianificazione del processo di selezione consente di programmare concorsi generali che, in linea di massima, rispondono alle esigenze delle Istituzioni dell’UE fornendo loro un bacino di candidati dotati dei profili richiesti. L’EPSO collabora tempestivamente e attivamente con le Istituzioni dell’UE, al fine di analizzare, dare priorità alle loro richieste e pianificare i concorsi generali. A livello della Commissione, il processo in atto consente di valutare in modo efficace il fabbisogno di vincitori di concorso. Tuttavia, lo IAS ha emesso due raccomandazioni molto importanti volte a migliorare l’efficienza e la tempestività dell’esercizio di pianificazione tramite la redazione di orientamenti, il miglioramento degli strumenti di gestione delle risorse umane (HRM) utilizzati nell’analisi del fabbisogno di personale da assumere in futuro, nonché l’eliminazione di quei passaggi che hanno ben poco o nessun valore aggiunto per il processo di stima del fabbisogno futuro di vincitori di concorso. Per affrontare le questioni identificate, l’EPSO dovrebbe trasmettere alle istituzioni dell’UE orientamenti e indicazioni volti ad aumentare la coerenza e la confrontabilità delle richieste di vincitori di concorso, richiedendo inoltre dettagli sufficienti sui criteri utilizzati per dare corretta priorità alle richieste e allineare l’organizzazione dei concorsi con i bisogni e le capacità di assunzione reali delle istituzioni. I ritardi potrebbero essere ridotti anche con una migliore programmazione delle attività. A livello di DG, gli strumenti di HRM e i relativi risultati dovrebbero essere utilizzati nell’analisi del futuro fabbisogno di personale da assumere. I servizi oggetto di audit hanno redatto piani d’azione che lo IAS ha giudicato soddisfacenti per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 2.1 del documento di lavoro dei servizi della Commissione. 4.1.2.Audit informatico orizzontale: audit riguardante la gestione e il monitoraggio dei servizi informatici esternalizzati (gestione del contratto) – Più DG (DG BUDG, DG DIGIT, DG HOME, PO, DG SANTE (ex-DG SANCO) La Commissione esternalizza una parte consistente della spesa per i servizi informatici, rivolgendosi a fornitori di servizi interni o esterni. In seno alla Commissione le responsabilità sono definite a livello interno e locale. A livello interno, le DG DIGIT e BUDG forniscono orientamenti, istruzioni e modelli, sviluppano la formazione e gestiscono i contratti quadro. A livello locale (operativo), spetta alle DG o ai servizi definire le esigenze, porre in essere i singoli contratti e garantire che vengano forniti i servizi. In tale contesto, obiettivo generale dell’audit era valutare l’efficienza e l’efficacia dei processi attuati dalla Commissione per la gestione e il monitoraggio dei contratti di servizio informatico esternalizzati, al fine di ottenere il migliore rapporto qualità/prezzo. L’audit ha individuato un processo di gestione e monitoraggio dei servizi informatici esternalizzati maturo, sia a livello interno sia a livello operativo. Tuttavia, Lo IAS ha identificato problemi molto importanti relativi alla stima del fabbisogno prima della definizione di un contratto quadro, alla gestione della qualità dei servizi esternalizzati sulla base di tempi e dei mezzi e agli orientamenti sulla scelta del tipo di esternalizzazione. Il processo di valutazione del fabbisogno prima della definizione di un contratto quadro dovrebbe essere standardizzato a livello centrale e operativo, fornendo istruzioni sulle modalità di definizione del fabbisogno (per garantire coerenza fra i bandi di gara) e applicando un processo strutturato e tracciabile a livello delle DG. Inoltre, andrà ulteriormente consolidato il fabbisogno a livello della Commissione, affinché rispecchi in modo più accurato l’effettivo fabbisogno delle DG/dei servizi. Per quanto concerne la gestione dei singoli contratti su base “tempi e risorse”, la DG DIGIT dovrebbe garantire la conformità fra i contratti quadro in termini di livello di controlli previsti in sede di selezione dei consulenti intra-muros; definizione degli indicatori chiave di risultato (KPI); diffusione delle informazioni sulle prestazioni degli assegnatari agli utilizzatori finali nelle DG/nei servizi, e allineamento delle clausole per l’applicazione del risarcimento danni sulla base dell’indicatore del servizio a livello mondiale. A livello operativo, le DG/i servizi dovrebbero migliorare il sistema di misurazione delle prestazioni per i propri contratti quadro. In merito alla scelta del tipo di esternalizzazione, la DG DIGIT dovrà fornire orientamenti volti ad assistere le DG/i servizi operativi nella scelta della modalità di lavoro più appropriata. A livello operativo, la scelta sarà operata in base all’analisi costi-benefici e considerate le condizioni e i vincoli particolari dei servizi esternalizzati. Lo IAS ha formulato raccomandazioni rivolte alle DG DIGIT, D SANTE e al PO. I servizi oggetto di audit hanno redatto piani d’azione che lo IAS ha giudicato soddisfacenti per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 2.2 del documento di lavoro dei servizi della Commissione. 4.1.3.Audit riguardante i processi amministrativi a sostegno del Semestre europeo – Più DG (SG, SJ, DG COMM, DG COMP, DG ECFIN, DG EMPL, DG MARKT, DG TAXUD) Affinché gli Stati membri (SM) potessero discutere e coordinare i propri piani di riforma di bilancio, macroeconomica e strutturale con le istituzioni dell’UE e altri SM in momenti specifici dell’anno, è stato istituito il Semestre europeo (SE). Obiettivo generale del presente audit dei risultati era quello di dare una risposta alla seguente domanda: i processi amministrativi a sostegno del Semestre europeo sono efficaci ed efficienti in seno alla Commissione? L’audit ha valutato l’adeguatezza del sistema di controllo interno relativamente alla produzione e alla comunicazione dei vari documenti prodotti dal SE. In linea generale, l’audit ha evidenziato che i processi amministrativi nell’SG e nelle DG oggetto di verifica a campione coadiuvano l’attuazione del Semestre europeo in seno alla Commissione in modo efficace ed efficiente.

Per maggiori dettagli cfr. la sezione 2.3 del documento di lavoro dei servizi della Commissione. 4.1.Agricoltura, risorse naturali e salute (AGRI, CLIMA, ENV, MARE, SANTE, CHAFEA) 4.1.1.Esame dell’analisi del divario della regolamentazione 2014-2020 in materia di Politica agricola comune, Fase 1 (DG AGRI) Lo IAS ha effettuato un’analisi del divario della regolamentazione 2014-2020 in materia di Politica agricola comune (PAC), comprendente un’analisi di alto livello della legislazione adottata per la PAC riguardante entrambi i pilastri, cioè principalmente, ma non in via esclusiva, il Fondo europeo agricolo di garanzia (FEAGA, pilastro 1) e il Fondo europeo agricolo per lo sviluppo rurale (FEASR, pilastro 2). Obiettivo principale di questa analisi del divario era evidenziare, per le aree di maggior importanza, gli ulteriori e/o maggiori rischi che la Commissione sta affrontando a seguito del nuovo quadro giuridico della PAC. L’analisi si è incentrata principalmente sul relativo contenuto della legislazione adottata analizzando in che misura riflettesse i propositi e l’obiettivo originari della Commissione: trovare il giusto equilibrio nella riduzione del carico amministrativo, mantenendo però al contempo il necessario livello di controllo per esercitare le proprie competenze di supervisione in materia di esecuzione del bilancio. La regolamentazione nel suo complesso introduce una serie di importanti miglioramenti nel senso dell’armonizzazione e della semplificazione delle disposizioni che disciplinano i Fondi strutturali e i due pilastri del settore agricolo. Lo IAS riconosce gli sforzi profusi dai servizi della Commissione nella fase negoziale per tutelare gli interessi della Commissione nel suo ruolo di supervisione, in particolare a fronte delle fortissime pressioni politiche esterne. Tuttavia, l’esito della legislazione finale adottata ha prodotto ulteriori e/o maggiori notevoli rischi che dovranno essere considerati dalla DG AGRI come parte dei preparativi, in fase progettuale e di attuazione dei controlli nel nuovo periodo. Il tema principale emerso è la profonda complessità e il volume degli emendamenti apportati dall’iter legislativo. In linea generale, ma soprattutto in settori chiave quali “l’agricoltura verde”, sono state introdotte svariate nuove misure, insieme con un gran numero di deroghe, eccezioni e norme suppletive che hanno consentito una maggiore flessibilità agli SM. Lo IAS prende atto degli sforzi compiuti dalla DG AGRI per affrontare tali problemi, ad esempio la preparazione di vademecum e orientamenti dettagliati da adottare da parte della Commissione. Ciononostante, la potenzialità interpretativa da parte degli SM è stata notevolmente incrementata, il che potrebbe a sua volta produrre un impatto altrettanto significativo sul tasso di errore. Data la natura dell’impegno, sono state formulate solo raccomandazioni di natura piuttosto generale e non è stato richiesto ai servizi di stilare piani d’azione. Lo IAS esaminerà invece i principali rischi individuati tramite audit mirati sull’“agricoltura verde”, sull’iter di approvazione dei Programmi di sviluppo rurale e sui meccanismi di sospensione e interruzione nel 2015. Per maggiori dettagli cfr. la sezione 3.1 del documento di lavoro dei servizi della Commissione. 4.2.Coesione (REGIO, EMPL) 4.2.1.Esame dell’analisi del divario della regolamentazione 2014-2020 in materia di Fondi strutturali e d’investimento europei (fondi SIE) Fase 1 – Più DG (DG AGRI, DG EMPL, DG MARE, DG REGIO) Al fine di migliorare il coordinamento e l’attuazione dei Fondi che forniscono supporto nell’ambito della Politica di coesione (FESR, FES e FC) in armonia con il Fondo per lo sviluppo rurale (FEASR) e il Fondo per gli affari marittimi e la pesca (FEAMP), è stato stabilito un regolamento sulle disposizioni comuni (RDC) per il complesso di questi Fondi, indicati come i Fondi strutturali e di investimento europei (Fondi SIE). Nel 2014 lo IAS ha effettuato un’analisi del divario in due fasi concernente il regolamento sui Fondi SIE per il periodo 2014-2020. Nella Fase 1, un’analisi di alto livello ha esaminato la legislazione adottata riguardante le quattro DG (DG AGRI, DG EMPL, DG MARE e DG REGIO) e i cinque Fondi SIE. L’analisi si è incentrata principalmente sul relativo contenuto della legislazione adottata, analizzando in che misura riflettesse i propositi e l’obiettivo originari della Commissione: trovare il giusto equilibrio nella riduzione del carico amministrativo, mantenendo però al contempo il necessario livello di controllo per esercitare le proprie competenze di supervisione in materia di gestione condivisa. I risultati concernenti nello specifico la DG AGRI sono stati comunicati separatamente (cfr. la sezione 4.2.1 della presente relazione). Nella Fase 2 è stato condotto un esame più approfondito della progettazione e dei preparativi in corso da parte delle specifiche direzioni generali (DG) interessate (cfr. la sezione ‎4.3.2 della presente relazione). L’esame condotto nella Fase 1 aveva come obiettivo principale quello di evidenziare, per le aree di maggior importanza, gli ulteriori rischi che correva la Commissione a seguito dell’iter colegislativo attuato per il nuovo RDC. L’RDC raggruppa sotto una nozione più generica una serie di importanti miglioramenti volti ad armonizzare e semplificare le disposizioni che disciplinano i Fondi strutturali. Lo IAS accoglie con favore tale approccio e riconosce gli sforzi profusi dai servizi della Commissione in fase negoziale per tutelare gli interessi della Commissione nel suo ruolo di supervisione, in particolare a fronte delle forti pressioni politiche esterne. Tuttavia, a fronte dei propositi originari della Commissione, l’esito della legislazione finale adottata ha prodotto ulteriori notevoli rischi che dovranno essere considerati da parte delle DG durante i preparativi, in fase progettuale e di attuazione dei controlli nel nuovo Periodo di programmazione. Benché sia stato ora istituito un corpus normativo supremo, il pacchetto legislativo nel suo insieme è molto complesso e non sempre di immediata comprensione, il che a sua volta potrebbe comportare problemi di interpretazione da parte degli Stati membri e rappresentare una sfida tanto per la Commissione quanto per gli organi degli SM in termini di verifica e controllo, oltre ad aumentare in ultima analisi il rischio d’errore. L’RDC finale è meno rigoroso rispetto alle rettifiche finanziarie che danno luogo alla perdita di fondi per gli SM (“rettifiche finanziarie nette”) e pertanto incentiva meno gli SM a migliorare il primo livello di controlli. Inoltre, l’RDC introduce anche talune limitazioni relativamente all’orizzonte temporale per gli audit, tenuto conto delle norme relative alla conservazione dei documenti. Infine, l’introduzione del quadro di riferimento delle prestazioni ha avuto come esito l’accordo su una serie di eccezioni e condizioni rispetto alle norme, il che potrebbe tradursi nel fatto che le mancate prestazioni potrebbero non essere effettivamente penalizzate in modo generalizzato, fatto che indebolirebbe a sua volta l’impatto finale del quadro di riferimento. Data la natura di tale impegno, lo IAS ha formulato soltanto raccomandazioni generali sul fatto che le DG ne dovrebbero tener debito conto, nei preparativi futuri, ma non è stata formulata la richiesta di redigere piani d’azione. Raccomandazioni più concrete sono state formulate come parte del lavoro della Fase 2 (cfr. la sezione ‎4.3.2).

Per maggiori dettagli cfr. la sezione 4.1 del documento di lavoro dei servizi della Commissione. 4.2.2.Analisi del divario della nuova legislazione/del progetto in materia di periodo di programmazione 2014-2020 dei Fondi strutturali e di investimento europei (Fondi SIE) Fase 2 – Più DG (DG EMPL, DG REGIO) La Fase 2 relativa all’esame dell’analisi del divario è stata completata per le DG REGIO ed EMPL, mentre era in corso a fine anno e nel 2015 per la DG MARE. I revisori riconoscono l’impegno profuso dalle DG EMPL e REGIO per aver costituito una solida base per i programmi operativi e per i sistemi di gestione e controllo del nuovo Periodo di programmazione 2014-2020. Tuttavia, lo IAS ha individuato quattro questioni molto importanti, comuni a entrambe le DG, nello specifico: il monitoraggio dei sistemi di gestione e controllo degli SM; il processo negoziale e di adozione del Programma operativo (PO); l’orientamento ai risultati e il quadro di riferimento dei risultati, nonché i sistemi informatici per la gestione dei processi del Periodo di programmazione 2014-2020. Per affrontare tali questioni, le DG EMPL e REGIO dovrebbero fare chiarezza sui divari individuati dalla strategia di audit, per garantire che si costituiscano fin dall’inizio solidi processi di rafforzamento della garanzia delle DG. Esse dovrebbero pertanto sviluppare ulteriormente la propria strategia di audit, al fine di ottenere dichiarazioni di affidabilità dell’Autorità di audit (AA). La strategia di audit annuale dovrebbe essere completata da un approccio pluriennale di rafforzamento della garanzia di affidabilità e da audit pianificati in modo tale da ottimizzare l’uso del periodo di conservazione dei documenti. Inoltre, andrebbe aumentato da parte delle DG il numero di audit dei sistemi di prevenzione precoce. Le DG REGIO ed EMPL dovrebbero controllare con attenzione le fasi finali prima dell’adozione del PO, compreso il seguito dato alle osservazioni della Commissione. Le DG dovrebbero altresì chiarire i requisiti minimi necessari per la documentazione della funzione dei responsabili geografici (RG) e garantire che questi ultimi le rispettino. Sarebbe opportuno che le DG appurassero che i RG mettano attivamente in discussione la plausibilità di tappe/obiettivi e corroborassero con documentazione la loro valutazione. Per quanto concerne il sistema informatico utilizzato (WAVE), dovranno garantire che siano definiti e concordati per tempo i processi operativi, che sia presente un gruppo di progetto stabile, sviluppare un processo di pianificazione e monitoraggio di progetto che sia affidabile e migliorare le modalità di sviluppo e risoluzione dei difetti del sistema informatico per garantire una piattaforma stabile. I servizi oggetto di audit hanno redatto piani d’azione che lo IAS ha giudicato soddisfacenti per attenuare i rischi individuati. Per maggiori dettagli cfr. la sezione 4.2 del documento di lavoro dei servizi della Commissione. 4.2.3.Audit riguardante i preparativi per l’utilizzo degli strumenti finanziari nella DG EMPL per il periodo 2014-2020 (DG EMPL) e audit riguardante i preparativi per l’utilizzo degli strumenti finanziari nella DG REGIO per il periodo 2014-2020 (DG REGIO) Nei periodi di programmazione precedenti è andato progressivamente crescendo il ruolo degli strumenti finanziari in vista del conseguimento degli obiettivi previsti dalla politica di coesione. Il quadro giuridico per il periodo di programmazione 2014-2020 ha esteso la portata del loro utilizzo e introdotto una serie di modifiche volte a rafforzare il quadro di attuazione. In vista di tali maggiori aspettative e dei relativi rischi, in particolare per quanto riguarda i tassi di utilizzazione presunti e l’uso efficiente ed efficace dei fondi, Lo IAS ha effettuato due incarichi di audit in parallelo, presso la DG REGIO e la DG EMPL, aventi come oggetto i preparativi in atto per il periodo 2014-2020. Obiettivo principale degli audit era valutare a che livello fossero preparate le DG a monitorare e supervisionare gli strumenti finanziari nel nuovo quadro giuridico e a evidenziare in anticipo eventuali punti deboli nei loro sistemi di controllo interni. Il contenuto degli audit consisteva nell’analisi approfondita dell’adeguatezza del quadro giuridico 2014-2020 e nell’esame del sistema di controlli interni così come programmato, comprese anche le attività di rafforzamento delle capacità, a livello interno e nei confronti degli SM. In generale, entrambe le DG hanno effettuato preparativi adeguati, tranne per quanto concerne gli sforzi profusi per il rafforzamento delle capacità. Pur riconoscendo che una serie di misure sono state già adottate, un elemento fondamentale per entrambe le DG è la piattaforma di consulenza tecnica sugli strumenti finanziari (FI-TAP). Tuttavia, dopo la recente adozione del quadro giuridico e a causa dei ritardi nei negoziati sull’Accordo quadro finanziario e amministrativo (FAFA) fra la Commissione e la BEI, la sua adozione è stata ulteriormente procrastinata, il che potrebbe ulteriormente ritardare l’adesione e l’attuazione in quegli SM poco o per niente esperti nell’uso degli strumenti finanziari, oltre a far aumentare il rischio di irregolarità e che i fondi per l’assistenza tecnica non vengano spesi in modo efficiente ed efficace. Per entrambe le DG REGIO ed EMPL, la questione è stata ritenuta “molto importante”. Entrambe le DG dovranno monitorare attentamente il lavoro e la tempistica dei preparativi per il lancio della piattaforma FI-TAP, che dovrà essere sufficientemente flessibile per soddisfare tutte le esigenze delle parti in causa. In attesa del lancio, le DG dovranno pianificare e programmare adeguatamente la redazione di schede tecniche di supporto e sviluppare ulteriormente la formazione, sia per i responsabili geografici che per i loro revisori. Inoltre, lo IAS ha individuato svariate questioni sollevate dalle nuovi disposizioni di legge: queste ultime sono aperte all’interpretazione e possono comportare dei rischi in sede di attuazione pratica (come le disposizioni sul finanziamento del capitale circolante; la segnalazione sulla leva finanziaria raggiunta; le disposizioni sul trattamento preferenziale di investitori privati, nonché le regole sui costi e gli oneri di gestione). Tali questioni sono state ritenute “molto importanti” nel caso della DG REGIO e “importanti” nel caso della DG EMPL. La seconda valutazione deriva dal fatto che gli strumenti finanziari per la DG EMPL sono molto meno significativi, in termini di bilancio, rispetto alla DG REGIO. Nella raccomandazione le DG sono invitate a garantire che il rischio connesso con le questioni individuate nel quadro giuridico siano adeguatamente mitigate e che gli orientamenti forniti al personale REGIO/EMPL oltre che negli SM e nelle strategie di audit e di controllo ne diano un corretto riscontro e siano adattate al Periodo di programmazione 2014-2020. Nello specifico, andrebbero sviluppati gli orientamenti sull’ammissibilità del capitale circolante, il trattamento preferenziale degli investitori privati, l’uso di relazioni di valutazione ex-ante e l’attività di comunicazione della leva finanziaria. Entrambe le DG hanno redatto piani d’azione che lo IAS ha giudicato soddisfacenti per dare seguito alle raccomandazioni. Per maggiori dettagli, cfr. la sezione 4.3 e la sezione 4.4 del documento di lavoro dei servizi della Commissione 4.2.4.Esame circoscritto dei calcoli e della relativa metodologia per il tasso di errore residuo della DG REGIO per l’esercizio 2013 (DG REGIO) Nel 2014 Lo IAS ha continuato ad effettuare esami circoscritti dei calcoli dei tassi di errore residuo. Un esame circoscritto è stato effettuato nella DG REGIO e nella DG CNECT (cfr. la sezione 4.4.6) L’obiettivo era quello di effettuare l’esame dei calcoli e della relativa metodologia del tasso cumulativo residuale di rischio/errore (TRR) e in tal modo contribuire a mitigare il rischio di discarico consentendo alla DG REGIO di adottare misure appropriate, se del caso, prima che fossero inseriti nella RAA e nella relazione di sintesi.

L’esame ha evidenziato tre risultanze molto importanti. I tassi di errore indicati dalle Autorità di audit nazionali (AA) variano notevolmente in termini di affidabilità e potrebbero essere sottostimati. La DG REGIO dovrebbe proseguire i propri sforzi per rafforzare l’affidabilità del lavoro delle AA, accertandosi che vengano applicati, nella pratica, gli orientamenti e tramite il rafforzamento degli obblighi di segnalazione per il periodo di programmazione 2014-2020. I dati comunicati dagli SM sulle revoche e i recuperi non sono sempre affidabili, in parte a causa dei limiti insiti nelle modalità di segnalazione alla Commissione, ma anche in ragione dei controlli limitati effettuati dalle AA sugli stessi. Inoltre, il sistema permette che taluni elementi siano contati due volte in fase di calcolo e che si tenga conto di anticipazioni su informazioni cruciali relative a revoche/recuperi prima che queste siano confermate. L’insieme di questi fattori aumenta il rischio di sovrastimare i dati e di conseguenza sottostimare il TRR. Per il futuro, la DG dovrà effettuare verifiche più sistematiche sui dati forniti dagli SM e accertarsi che nell’attività di audit sia garantita la copertura necessaria e si tengano in debito conto i rischi di sovrastima. La DG REGIO dovrebbe valutare quale sia la garanzia che vengano effettivamente eseguiti, nella pratica, i recuperi pendenti e gli accordi formali, e che le relazioni degli SM sulle revoche e i recuperi presentate prima della scadenza del 31 marzo siano corrette, prima di prenderle in considerazione. Inoltre, gli atti di esecuzione per il periodo di programmazione 2014-2020 dovranno migliorare le modalità di segnalazione delle revoche e dei recuperi da parte degli SM. I dati TRR negativi relativi a una serie di Programmi operativi (PO) possono essere riportati e inseriti nel calcolo del TRR medio totale per tutti i PO, il cui effetto è quello di sottostimare il dato concernente il TRR di circa il 10%. Inoltre, i tassi d’errore inerenti l’esercizio precedente sono utilizzati per stimare gli errori concernenti l’esercizio corrente, per quanto questi non rappresentino sempre le migliori stime disponibili, ad esempio nei casi in cui sono state apportate modifiche significative ai sistemi di gestione e controllo. L’effetto prodotto può essere una sottostima o una sovrastima dei dati sul TRR. Per la RAA per il 2013, la DG REGIO dovrebbe analizzare per ciascun PO se sia valido utilizzare come miglior stima, nel calcolo del TRR e degli importi a rischio dell’anno in corso, il tasso d’errore relativo alla spesa dell’esercizio precedente. A partire dalla RAA per il 2014 e per le successive, i dati negativi per ogni singolo PO non dovranno essere riportati nel calcoli degli esercizi successivi. Prima del perfezionamento della RAA per il 2013, questa è stata inserita nelle valutazioni inter pares effettuate sulle bozze di relazione annuale. Tutte le risultanze e le raccomandazioni sono state accettate e la DG ha attuato, nella misura del possibile, le raccomandazioni sulla RAA per il 2013. Un recente follow-up ha evidenziato l’attuazione del resto delle azioni concernenti le raccomandazioni molto importanti formulate riguardo alla RAA per il 2014. Per maggiori dettagli cfr. la sezione 4.5 del documento di lavoro dei servizi della Commissione. 4.3.Ricerca, energia e trasporti (CNECT, ENER, JRC, MOVE, RTD, ERCEA, INEA, REA) 4.3.1.Esame dell’analisi del divario della legislazione concernente Orizzonte 2020 – Più DG (DG CNECT, DG ENER, DG MOVE, DG RTD) Orizzonte 2020 è il nuovo programma di finanziamento dell’Unione europea che raggruppa tutti i precedenti fondi dell’Unione per la ricerca e l’innovazione. Gli stanziamenti d’impegno di Orizzonte 2020 sono gestiti direttamente dalle direzioni generali della Commissione (DG), dalle agenzie esecutive e da altri enti attuatori. Lo IAS sta effettuando un esame in due fasi dell’analisi del divario concernente il quadro giuridico di riferimento di Orizzonte 2020 e del Pacchetto innovazione e investimento (PII). La prima fase è stata oggetto del presente studio e si è incentrata sul contenuto della legislazione adottata, a fronte della proposta iniziale della Commissione. La seconda fase, nel 2015, comporterà un esame più approfondito a livello di progettazione e preparativi da parte della DG RTD, di altre DG e delle agenzie esecutive. Obiettivo principale della prima fase era confrontare la legislazione adottata con le proposte della Commissione ed evidenziare, per gli ambiti di maggior rilevanza, gli ulteriori rischi cui essa va incontro, a seguito del processo di colegislazione, tenuto conto del suo scopo dichiarato: adottare una più semplice architettura di programma e un solo corpus legislativo per la partecipazione, conseguire il giusto equilibrio fra fiducia e controlli e ridurre l’onere amministrativo a carico dei beneficiari e della Commissione. Lo IAS accoglie con favore gli sforzi profusi tramite la legislazione per attuare una serie di miglioramenti in vista dell’armonizzazione e della semplificazione delle modalità che disciplinano il programma quadro di ricerca. Lo IAS riconosce inoltre gli sforzi dei servizi della Commissione durante la fase negoziale per tutelare gli interessi della Commissione, a fronte di pressioni politiche esterne. Rispetto alla proposta originaria della Commissione, la legislazione finale ha prodotto un testo di compromesso che non di discosta troppo da ciò che la Commissione intendeva conseguire in origine. Tuttavia, le modifiche apportate hanno avuto come risultato una serie di ulteriori rischi che, in futuro, dovranno essere considerati come parte della fase di preparazione della progettazione e attuazione dei controlli. Data la natura di tale impegno, in merito alla debita considerazione che le DG gli dovranno accordare in futuro nella fase preparatoria, lo IAS ha formulato soltanto raccomandazioni generali, senza tuttavia richiedere la redazione di piani d’azione. La formulazione di raccomandazioni più concrete potrebbe scaturire dalle risultanze dell’attività della Fase due, nel 2015. Per maggiori dettagli cfr. la sezione 5.1 del documento di lavoro dei servizi della Commissione. 4.3.2.Audit riguardante l’attuazione dei sistemi di controllo del 7° PQ (compresa la supervisione degli organismi esterni) nella DG CNECT (DG CNECT) Questo incarico ha fatto parte di una serie di audit riguardante l’attuazione dei sistemi di controllo del 7° PQ effettuati nelle DG/Agenzie con le dotazioni di bilancio più significative in quest’ambito. La DG CNECT attua la politica di ricerca dell’UE e sostiene lo sviluppo dello Spazio europeo della ricerca, principalmente tramite i Programmi quadro di ricerca (2007-2013) che sono in fase di esaurimento, per quanto gran parte degli stanziamenti di pagamento sarà utilizzata nel periodo 2016-2017, a fronte delle dichiarazioni di spesa presentate. Inoltre, la DG CNECT supervisiona due imprese comuni (ENIAC e ARTEMIS, che si sono recentemente fuse in un solo organismo, l’ECSEL), organismo istituito ai sensi dell’art. 185 TFUE (Ambient Assisted Learning (AAL)) e due agenzie dell’UE (ENISA e BEREC). E’ stata formulata una riserva nella relazione annuale d’attività della DG CNECT per il 2013 concernente il tasso di errori residui rispetto all’accuratezza delle dichiarazioni di spesa per il 7° PQ.

Obiettivo dell’audit era valutare l’adeguatezza e l’effettiva applicazione dei sistemi di controllo interni concernenti i processi in atto per l’attuazione dei risultati dei controlli ex-post, delle misure antifrode, del trasferimento dell’attività di controllo ex-post presso il Centro comune di sostegno ospitato dalla DG RTD dal 1° gennaio 2014, nonché la supervisione degli organismi esterni. Pur riconoscendo che la DG RTD ha assunto un ruolo di primo piano nell’individuazione delle frodi dopo il trasferimento delle attività di controllo ex-post al centro comune di sostegno, Lo IAS ha raccomandato alla DG CNECT di prendere l’iniziativa e collaborare con la DG RTD per sviluppare ulteriormente gli orientamenti esistenti in materia di sanzioni finanziarie e amministrative. La DG CNECT dovrebbe garantirne l’applicazione sistematica (come previsto dall’attuale RF, dalla Strategia antifrode della Commissione europea CAFS, e del quadro contrattuale del 7° PQ e di Orizzonte 2020), per lo meno nei casi di frode accertata. Inoltre, la DG CNECT dovrebbe collaborare con la DG RTD per garantire la disponibilità di uno strumento informatico efficace ed integrato volto al rilevamento dei doppi finanziamenti e degli episodi di plagio che possa essere utilizzato in tutti i servizi della Commissione dedicati alla Ricerca e che tenga in debito conto il giusto equilibrio fra la copertura dei progetti più rischiosi e il costo dei controlli. La DG CNECT dovrebbe sviluppare le pertinenti procedure interne al fine di integrare nelle pratiche correnti quella dell’individuazione degli episodi di plagio. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 5.2 del documento di lavoro dei servizi della Commissione. 4.3.3.Audit riguardante l’attuazione dei sistemi di controllo del 7° PQ (compresa la supervisione degli organismi esterni) nella DG RTD (DG RTD) La DG RTD attua la politica di ricerca dell’UE e sostiene lo sviluppo dello spazio europeo della ricerca, principalmente tramite i Programmi quadro di ricerca. Inoltre, la DG RTD supervisiona altri organismi di esecuzione del bilancio destinato alla ricerca: due agenzie esecutive (REA ed ERCEA), quattro imprese comuni (IC) e segnatamente Clean Sky, FCH, IMI e F4E, e tre organismi (partenariato pubblico-pubblico) costituiti ai sensi dell’articolo 185 del trattato sul funzionamento dell’Unione europea (TFUE). Benché il Settimo programma quadro per il periodo 2007-2013 sia in fase di esaurimento, una gran parte degli stanziamenti di pagamento (EUR 8 609,37 milioni) deve ancora essere utilizzata a fronte delle dichiarazioni di spesa da presentare nei prossimi anni. Nella sua relazione annuale d’attività per il 2013, la DG RTD ha formulato una riserva concernente il tasso di errore residuo in merito all’accuratezza delle dichiarazioni di spesa per il 7° PQ. Obiettivo dell’audit era valutare l’adeguatezza e l’effettiva applicazione dei sistemi di controllo interni in essere nella DG RTD per il monitoraggio e la supervisione degli organismi summenzionati, la prevenzione e il rilevamento delle frodi, nonché la transizione verso il Servizio comune di audit (SCA) da parte del centro comune di sostegno, che dal 1° gennaio 2014 è responsabile dell’attuazione della strategia di audit ex post delle pregresse attività relative al 7° PQ, prima gestite internamente. Lo IAS ha raccomandato alla DG di sincerarsi che il personale fosse pienamente cosciente della responsabilità della Commissione in quest’ambito, richiedendo alle IC ITC le informazioni più complete e aggiornate possibili ai fini della propria relazione annuale d’attività e garantendo che le informazioni ricevute dalle varie IC ITC fossero coerenti rispetto ai calcoli sul tasso di errore residuo e i criteri di rilevanza. Inoltre, la DG RTD dovrebbe cercare di conseguire il consenso interno rispetto alla creazione del centro comune di sostegno, definendone chiaramente i ruoli, le responsabilità, i compiti e le procedure. Date le sfide che si pongono al CCS, specialmente per quanto riguarda il fatto di ottenere, da parte della “famiglia” di servizi di altre DG in materia di ricerca, l’accordo sul trasferimento di personale o funzioni adeguate, lo IAS ha sottoposto la questione delle risorse carenti all’attenzione dei servizi centrali, trasmettendo una lettera di raccomandazioni sull’argomento. Infine, in coordinamento con la “famiglia” dei servizi della ricerca, la DG RTD dovrà aggiornare la strategia antifrode comune a tutta la “famiglia” dei servizi, comprese le azioni concrete per migliorare le attività di prevenzione e individuazione delle frodi, affrontando in particolare il rischio di dolo a livello scientifico e professionale, di doppi finanziamenti e di plagio. La DG dovrà quindi sviluppare e attuare orientamenti chiari sull’applicazione delle sanzioni finanziarie e non finanziarie tanto nel 7° PQ che in Orizzonte 2020 e sviluppare una serie di KPI che le consentano di misurare i risultati dell’attività antifrode, nonché un adeguato strumento di monitoraggio e segnalazione degli eventuali casi di frode. Lo IAS ha sollevato altresì una serie di importanti questioni, in particolare sulla supervisione degli organismi ex articolo 185. L’audit ha evidenziato che la DG RTD non ha ottenuto prove sufficienti che tali organismi abbiano un sistema di controlli interni efficace ed efficiente ai sensi del regolamento finanziario. Al fine di non pregiudicare il processo di consolidamento della garanzia, la DG RTD stabilirà e comunicherà criteri chiari di consolidamento della garanzia in merito agli organismi ex articolo 185 e riferirà in merito al livello di garanzia ottenuto da questi nella propria relazione annuale d’attività. Possono influire negativamente sul processo di consolidamento della garanzia di affidabilità della “famiglia” ricerca delle DG le questioni relative alla responsabilità della Commissione nell’attuazione del bilancio affidato agli organi delegati, la mancanza di rendicontazioni armonizzate sul calcolo e la comunicazione dei tassi di errore da parte delle IC ITC e ritardi nella fase di avvio del CCS. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 5.3 del documento di lavoro dei servizi della Commissione. 4.3.4.Audit riguardante l’attuazione dei sistemi di controllo del 7° PQ nell’ERCEA (ERCEA) Il Consiglio europeo della ricerca (CER) è stato istituito nel 2007 al fine di dare attuazione al programma IDEAS nell’ambito del Settimo programma quadro (7° PQ) a favore della comunità scientifica in Europa tramite il finanziamento di progetti di ricerca “di frontiera”. Il CER mira a fornire ai ricercatori i mezzi per condurre le proprie ricerche in modo indipendente, selezionando e finanziando idee di ricerca mosse dallo spirito d’indagine e basate su iniziative provenienti dalla comunità scientifica. Un altro scopo del CER è quello di offrire prospettive di carriera ai migliori ricercatori europei, oltre che fungere da catalizzatore per l’eccellenza scientifica. L’agenzia esecutiva del CER (ERCEA) è la struttura dedicata responsabile dell’attuazione e dell’esecuzione del programma. Per quanto il 7° PQ relativo al periodo 2007-2013 sia in fase di esaurimento, una gran parte (circa il 50%) dello stanziamento di bilancio è ancora da utilizzare nei prossimi anni, e si prevede che fra il 2014 e il 2016 il volume e il valore dei pagamenti nell’ambito del programma IDEAS raggiungeranno il loro apice; gli ultimi pagamenti finali saranno effettuati nel 2021. Obiettivo dell’audit era valutare se la strategia di controllo del 7° PQ dell’ERCEA fosse attuata in modo efficiente ed efficace e comunicata tramite la relazione annuale d’attività. Inoltre, l’esame dello IAS ha valutato se l’ERCEA garantisse l’immediata e proporzionale adozione di misure correttive volte a ottenere un livello accettabile di errore per quanto concerne la legalità e la regolarità delle operazioni. Lo IAS ha raccomandato all’ERCEA di basare il tasso di errore residuo oggetto della sua comunicazione su un campione statisticamente rappresentativo oppure, qualora utilizzi un modello di valutazione alternativo, che vi faccia riferimento indicandolo come tasso di errore “rilevato” piuttosto che “rappresentativo”.

Inoltre, l’ERCEA dovrebbe sviluppare nel complesso una strategia di audit e un piano di audit che comprendano i KPI pertinenti e passare regolarmente in rassegna i parametri di rischio per rispecchiare le proprie specificità. L’Agenzia esecutiva ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 5.4 del documento di lavoro dei servizi della Commissione. 4.3.5.Audit riguardante la gestione degli appalti nella DG JRC (DG JRC) Gli appalti sono vitali per quella che è l’attività principale della JRC: affiancare le politiche dell’UE con un supporto tecnico-scientifico indipendente e fondato su elementi concreti durante tutto il ciclo decisionale. L’esecuzione di oltre il 75% del bilancio annuale della DG JRC (escluse le spese per il personale) avviene tramite una vasta gamma di procedure d’appalto e la stipula di numerosi contratti. Obiettivo dell’audit era valutare la conformità dell’iter per l’aggiudicazione degli appalti presso la JRC alle norme relative e l’efficacia dei controlli in essere. Esso si è incentrato sugli aspetti procedurali, come l’analisi del fabbisogno e la pianificazione, la preparazione e l’esecuzione dei contratti e la strategia di controllo ex-post. L’audit ha individuato segnali di miglioramento, ma anche aree che richiedono ulteriore attenzione. In quest’ambito, la JRC dovrà adottare misure necessarie per individuare singole procedure relative a beni/servizi che, nel loro insieme, nel corso dell’anno possono raggiungere la soglia ed essere oggetto pertanto di procedure più estese. Lo IAS ha raccomandato alla JRC una revisione della propria strategia in merito agli appalti di minore entità seguendo un’analisi del profilo di spesa di ciascun sito, accompagnata da azioni quali una maggiore sensibilizzazione delle unità operative sui criteri utilizzati per la determinazione della scelta della procedura d’appalto e l’attuazione di misure di controllo specifiche e/o di azioni di sensibilizzazione al fine di dare seguito alle questioni finanziarie rilevate nel corso della fase di verifica dell’audit. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 5.5 del documento di lavoro dei servizi della Commissione. 4.3.6.Esame circoscritto dei calcoli e della relativa metodologia per il tasso di errore residuo della DG CNET per l’esercizio 2013 (DG CNET) L’obiettivo era esaminare i calcoli e la relativa metodologia del TRR e contribuire in tal modo a mitigare il rischio di discarico, consentendo alla DG CNECT di adottare misure appropriate, se del caso, prima che siano inseriti nella RAA e nella relazione di sintesi. A seguito dell’esame effettuato, non sono stati identificati rischi significativi. Per maggiori dettagli cfr. la sezione 5.6 del documento di lavoro dei servizi della Commissione. 4.4.Affari economici e finanziari (COMP, ECFIN, FISMA, GROW, OLAF, TAXUD, TRADE, EASME) 4.4.1.Audit riguardante i processi di gestione e pianificazione dei rischi nella DG ECFIN nel contesto della Nuova governance economica (DG ECFIN) La DG ECFIN svolge un ruolo centrale nella definizione, negoziazione e attuazione delle risposte strategiche della Commissione a fronte delle ripercussioni della crisi finanziaria mondiale sui sistemi bancari, i mercati azionari e il flusso del credito. A partire dal 2008 la DG è cresciuta notevolmente in termini di numero di effettivi, responsabilità e complessità del quadro normativo entro il quale opera. La DG ha anche subito tre riorganizzazioni. L’obiettivo dell’audit era valutare se la DG ECFIN basasse la propria gestione, il monitoraggio e la comunicazione delle sue nuove responsabilità in materia di governance economica su procedure effettive di gestione e pianificazione dei rischi. Nel complesso, l’audit ha confermato che in un contesto di crisi economica e vincoli stringenti, la gestione, il monitoraggio e la comunicazione da parte della DG ECFIN delle sue nuove responsabilità in materia di governance economica si basano su elementi effettivi di gestione e pianificazione dei rischi, generalmente in conformità con le linee guida emanate dai servizi centrali.

Per maggiori dettagli cfr. la sezione 6.1 del documento di lavoro dei servizi della Commissione. 4.4.2.Audit riguardante la cooperazione della DG MARKT con i tre organismi di supervisione dei servizi finanziari (DG MARKT) A seguito della crisi finanziaria emersa nel 2008, la stabilizzazione dei mercati finanziari è diventata una priorità e la riforma del settore finanziario uno strumento fondamentale per conseguire questo risultato. La crisi finanziaria ha evidenziato quanto fosse necessario migliorare la regolamentazione e la vigilanza nel settore finanziario. Dal 1° gennaio 2001, con l’istituzione delle Autorità europee di vigilanza (AEV) - l’Autorità bancaria europea (ABE), l’Autorità europea degli strumenti finanziari e dei mercati (ESMA) e l’Autorità europea delle assicurazioni e delle pensioni aziendali e professionali (EIOPA) – una nuova architettura di vigilanza a livello dell’UE ha sostituito la precedente. L’obiettivo generale era valutare l’attuale quadro di gestione dei risultati della DG MARKT per dare seguito, monitorare la cooperazione con queste tre AEV relativamente ai servizi finanziari e ricevere informazioni e segnalazioni sui progressi verso il conseguimento degli obiettivi strategici della Vigilanza finanziaria europea. In generale, l’audit ha dimostrato che le modalità di definizione e applicazione dell’attuale quadro di gestione delle prestazioni della DG MARKT in materia di cooperazione con le tre AEV sono adeguate, sia per il seguito dato alle loro attività che per l’acquisizione di informazioni e segnalazioni sui progressi verso il conseguimento degli obiettivi strategici della Vigilanza finanziaria europea. Per maggiori dettagli cfr. la sezione 6.2 del documento di lavoro dei servizi della Commissione. 4.4.3.Audit riguardante il sistema di misurazione delle prestazioni nelle attività della DG TAXUD in materia di dogane (DG TAXUD) Il funzionamento dell’Unione doganale si basa sulla stretta collaborazione fra la DG TAXUD e le amministrazioni nazionali. Lo strumento principale di sostegno all’attuazione della politica doganale è stato il programma Dogana 2013 (fino al 2013), sostituito dal nuovo programma Dogana 2020 a partire dal 2014. Una priorità per il 2014 è stato l’ulteriore progresso verso l’e-Customs, un ambiente moderno e privo di carta per le dogane e gli scambi, sulla base del Codice doganale dell’Unione adottato il 9 ottobre 2013. L’obiettivo generale dell’audit era valutare il quadro di misurazione delle prestazioni in essere per l’operato relativo alle attività doganali nella DG TAXUD in termini di attività quotidiane operative e amministrative, nonché il conseguimento degli obiettivi strategici. Pur riconoscendo le misure già adottate, lo IAS ha concluso che la DG TAXUD dovrà migliorare significativamente la misurazione delle prestazioni dei comitati e dei gruppi del settore doganale e delle attività interne della DG TAXUD nel settore doganale. Per affrontare queste due questioni molto importanti, la DG TAXUD dovrebbe istituire un sistema di misurazione delle prestazioni più efficace per i comitati e i gruppi, caratterizzato da maggior chiarezza nelle responsabilità, miglior coordinamento e monitoraggio delle risorse. La DG dovrebbe altresì migliorare il proprio sistema di misurazione delle prestazioni utilizzando in modo più efficace, come strumenti di gestione, il Piano di gestione e la gestione dei rischi, oltre a consolidare la comunicazione interna. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 6.3 del documento di lavoro dei servizi della Commissione. 4.5.Aiuti esterni, sviluppo e allargamento (DEVCO, ECHO, FPI, NEAR) 4.5.1.Audit riguardante gli accordi di contributo stipulati con gli organi delle Nazioni unite e altre Organizzazioni internazionali (DG DEVCO) Nel corso della preparazione del Piano di audit strategico dello IAS per il 2013-2015, è stato ritenuto elevato il rischio relativo agli accordi di contributo stipulati con le Organizzazioni internazionali (OI), sulla base dell’importanza, in termini finanziari, degli accordi di contributo quale modalità di erogazione degli aiuti allo sviluppo. L’obiettivo dell’audit era valutare l’efficienza e l’efficacia dei processi e delle procedure in atto nella DG DEVCO per porre in essere le azioni di aiuto allo sviluppo e alla cooperazione tramite gli accordi di contributo stipulati con gli OI, in particolare in considerazione di quanto disposto dal nuovo regolamento finanziario (RF) riguardo alla modalità di gestione indiretta con cui la Commissione affida mansioni di esecuzione del bilancio, fra le altre cose, agli OI tramite accordi di delega per la gestione indiretta (IMDA). La conclusione dello IAS è stata che dall’adozione del nuovo RF la DG DEVCO ha adottato misure appropriate al fine di adeguare i propri livelli di controllo interno alle nuove disposizioni. In particolare, lo IAS ha osservato che la nuova metodologia di valutazione (pilastro) ex ante sviluppata dalla DG DEVCO nel 2013 è conforme al RF e alle sue modalità di applicazione, oltre che alle norme di controllo interno della Commissione. La strategia complessiva della DG DEVCO per la gestione degli accordi di contributo con gli OI, come presentata nei vari documenti oggetto di revisione, è coerente per quanto riguarda la decisione della Commissione, l’accordo di finanziamento, la scheda d’azione e l’accordo di contributo pertinente stipulato con l’OI. Le condizioni speciali prevedono obblighi di rendicontazione e le relazioni sono generalmente chiare, precise e circostanziate.

Inoltre, lo IAS osserva che la DG DEVCO e la DG ECHO hanno coordinato e messo in atto una chiara ripartizione delle mansioni riguardanti la pianificazione delle nuove valutazioni relative al pilastro. Per maggiori dettagli cfr. la sezione 7.1 del documento di lavoro dei servizi della Commissione. 4.5.2.Audit riguardante gli accordi di contributo stipulati con le organizzazioni internazionali (DG ECHO) Nel corso della preparazione del Piano di audit strategico dello IAS per il 2013-2015, è stato ritenuto elevato il rischio insito nell’attuazione degli accordi di contributo, in quanto la DG ECHO, non effettuando direttamente le azioni umanitarie, agisce tramite i propri partner con modalità di gestione indiretta (gestione comune ai sensi del precedente regolamento finanziario), le quali possono rappresentare delle sfide e costituire dei rischi per la DG ECHO nel conseguimento dei suoi obiettivi strategici. Inoltre, in termini finanziari gli accordi di contributo rappresentano una larga parte (il 46% nel 2012) degli impegni anni totali della DG ECHO. L’obiettivo dell’audit era valutare l’efficienza e l’efficacia dei processi e delle procedure in essere nella DG ECHO nella realizzazione delle azioni di aiuto umanitario erogate tramite gli accordi di contributo con gli OI. Lo IAS prende atto degli sforzi profusi dalla DG ECHO (insieme con la DG DEVCO) nel migliorare la metodologia di valutazione del precedente pilastro e nello sviluppare le proprie strategie d’intervento. In anni recenti la DG ECHO ha notevolmente sviluppato i processi di pianificazione e decisionali dei propri progetti ed ha razionalizzato quelli decisionali in ambito finanziario, il che ha permesso sia alla DG ECHO sia ai suoi partner una migliore attività di pianificazione dei progetti. Pur riconoscendo i passi già fatti, la conclusione dello IAS è che la DG ECHO dovrebbe 1) migliorare il quadro complessivo di monitoraggio e rendicontazione, per affrontare il mancato conseguimento degli obiettivi di taluni progetti; ii) mantenere e ampliare ulteriormente i progressi già conseguiti ad oggi per dimostrare con maggior forza che finanziando le Organizzazioni internazionali sta conseguendo il miglior rapporto qualità/prezzo, e iii) garantire il rapporto costi-benefici della propria strategia di verifica. Lo IAS ha raccomandato alla DG ECHO di sviluppare ulteriormente il quadro di monitoraggio in vista del passaggio a una nuova cultura basata sulle prestazioni e sulla maggior attenzione accordata al rapporto qualità/prezzo in seno alla Commissione. La DG dovrebbe altresì condurre un’analisi delle ragioni più comuni della mancata riuscita dei progetti e garantire che vi sia una traccia di audit delle ragioni che portano ad accettare il pagamento finale dei progetti; la DG ECHO dovrebbe altresì rivalutare le proprie esigenze di rendicontazione insieme con le visite di monitoraggio sul campo. Infine, la DG ECHO dovrebbe consolidare la propria strategia di verifica per includere obiettivi e bersagli e tener conto del rapporto costi-benefici dei controlli. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 7.2 del documento di lavoro dei servizi della Commissione. 4.5.3.Audit riguardante il processo di consolidamento della garanzia di affidabilità nelle delegazioni dell’UE (DG DEVCO) Nel corso dei preparativi del Piano strategico 2013-2015 dello IAS, il rischio relativo al processo di consolidamento della garanzia di affidabilità nelle delegazioni dell’Unione europea (DUE) è stato ritenuto elevato, sulla base delle riserve complessive formulate sulla DG DEVCO nelle Relazioni annuali di attività per il 2012 e 2013 su tutte le sue attività, in ragione della ricorrenza significativa di errori relativi alla legittimità e regolarità (cioè tassi d’errore del 3,63% nel 2012 e del 3,35% nel 2013), in linea con le risultanze e i tassi d’errore più probabili individuati dalla Corte dei conti durante l’esercizio relativo alla dichiarazione di affidabilità per il 2011 e il 2012. La valutazione del rischio si è basata anche sull’audit espletato dallo IAS nel 2012 sul processo della RAA nella DG DEVCO, la cui conclusione è stata che occorrerebbe rafforzare la catena di comunicazione (nota come “il sistema piramidale di controllo”) dai capi delegazione ai direttori (ordinatori sottodelegati) nella DG DEVCO e dai direttori al direttore generale della DG DEVCO (ordinatore delegato) e che occorrerebbe migliorare l’efficacia della Relazione sulla gestione dell’aiuto esterno (EAMR) in quanto strumento di responsabilità (garanzia di affidabilità) e di gestione fra le delegazioni e la sede centrale. L’obiettivo dell’audit era valutare l’adeguatezza e l’effettiva applicazione del sistema di controllo interno, delle procedure di gestione e governance dei rischi relative al processo di consolidamento della garanzia di affidabilità in seno alle delegazioni dell’UE. Dato l’ambiente in cui opera la DG DEVCO, è importante che i sistemi di controllo della gestione abbiano un funzionamento efficace per mitigare il rischio finanziario e di reputazione che incorre il bilancio dell’UE e migliorino le possibilità di conseguire un congruo rapporto qualità/prezzo per i contribuenti. La dichiarazione di affidabilità rilasciata dai capi delegazione è un mezzo efficace per garantire l’affidabilità del funzionamento dell’ambiente di controllo interno, che lo IAS accoglie con favore. Lo IAS ha concluso che il processo EAMR è ben strutturato e organizzato in seno alle DUE poste sotto la responsabilità del capo delegazione, che firma la dichiarazione di affidabilità come previsto dal regolamento finanziario. Tuttavia, lo IAS ha rilevato che questo processo potrebbe essere ulteriormente migliorato fornendo chiare indicazioni alle DUE in merito i) agli elementi/eventi che dovrebbero o potrebbero dar luogo a riserve da parte delle DUE, e ii) alle eventuali conseguenze di una riserva. Lo IAS ha individuato una questione molto importante relativa alla mancanza di chiare indicazioni su dove e come i capi delegazione possono formulare una riserva nella dichiarazione di affidabilità. Al fine di mitigare tale rischio, la DG DEVCO dovrebbe migliorare le proprie indicazioni in merito i) alla definizione di una riserva, compreso l’eventuale impatto finanziario o di reputazione a livello della DUE, e ii) alle conseguenze di una riserva (cioè la definizione, l’attuazione o la pianificazione delle azioni principali da espletare per porre rimedio alla situazione/debolezze che hanno dato luogo alla formulazione della riserva). Particolare rilievo dovrebbe essere accordato a un’importante raccomandazione: l’EAMR è il maggior strumento di rendicontazione ad uso delle delegazioni dell’UE per fornire garanzie di affidabilità sulla gestione dei fondi ad esse subdelegati. Consiste in una serie di indicatori chiave di risultato (KPI) sulla sana gestione finanziaria e l’efficienza dei controlli interni e dei sistemi di audit. La raccomandazione dello IAS alla DG DEVCO è stata di migliorare la definizione dell’EAMR fornendo ulteriori indicazioni sulla definizione, l’utilizzo e la rilevanza dei KPI che strutturano la relazione, per garantire che vengano veicolate sufficienti informazioni nel processo di consolidamento della garanzia di affidabilità. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 7.3 del documento di lavoro dei servizi della Commissione. 4.5.4.Audit riguardante il sostegno di bilancio nella DG DEVCO Il sostegno di bilancio (SB) è una modalità di aiuto finanziata dal bilancio dell’UE e dal Fondo europeo di sviluppo (FES), che ha rappresentato il 24% dei pagamenti totali effettuati dalla DG nel 2014. Una caratteristica dell’SB è la non tracciabilità dell’uso dei fondi erogati come contributo, essendo trasferiti alle tesorerie nazionali dei paesi beneficiari. Ne consegue che le responsabilità di rendicontazione e di revisione dei conti di tali risorse da parte della Commissione risultano limitate nel garantire il rispetto delle condizioni per l’erogazione e che il trasferimento dei fondi sia avvenuto in osservanza degli accordi siglati con il paese.

Alla fine del 2013, erano 256 le operazioni di SB in fase di attuazione o in preparazione in 84 paesi. I paesi africani ed i loro partner europei aderenti allo Strumento europeo di vicinato e partenariato sono di gran lunga i maggiori beneficiari dei fondi di sostegno di bilancio (44% e 31% rispettivamente degli impegni in essere totali per il 2013). Nel corso degli anni, l’uso fatto dalla Commissione di taluni aspetti del sostegno di bilancio è stato messo in discussione dalle commissioni per lo sviluppo (DEVE) e per il controllo dei bilanci (CONT) del Parlamento europeo e dagli SM. Inoltre, nella sua Relazione speciale 11/2010 la Corte dei conti europea (CC) ha individuato debolezze nella gestione del sostegno di bilancio da parte della Commissione. L’obiettivo dell’audit era valutare l’approccio della DG DEVCO al sostegno di bilancio e, in particolare, se i processi di gestione delle proprie attività di sostegno di bilancio da parte della DG DEVCO fossero efficienti ed efficaci. L’audit ha concluso che gli Orientamenti di sostegno di bilancio (pubblicati nel settembre 2012), insieme con un quadro di gestione dei rischi rafforzato costituiscono una buona base per un processo decisionale informato. Lo IAS accoglie con favore l’imminente revisione degli Orientamenti al sostegno di bilancio che arriva per tempo a orientare l’attuazione dei nuovi programmi indicativi pluriennali e il cui scopo è dare una risposta agli specifici temi di maggior preoccupazione sollevati dai servizi durante i primi due anni di attuazione. Tuttavia, lo IAS ha individuato una questione molto importante relativa al dialogo strategico nel contesto del sostegno al bilancio. Per affrontare la questione, la DG DEVCO dovrebbe migliorare le attuali indicazioni in materia di dialogo strategico. La DG DEVCO dovrebbe altresì inserire dell’Accordo finanziario (o altri documenti concordati con le autorità nazionali) elementi di dialogo strategico per taluni settori/sottosettori, al fine di anticipare meglio i principali orientamenti del dialogo strategico e, in ultima analisi, contribuire al conseguimento dei risultati attesi alla luce degli indicatori specifici definiti nelle disposizioni tecniche e amministrative (DTA). La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 7.4 del documento di lavoro dei servizi della Commissione. 4.5.5.Audit riguardante la strategia di controllo nel Servizio degli strumenti di politica estera (FPI) Il servizio degli strumenti di politica estera (FPI) gestisce una parte importante del bilancio destinato alla politica estera. Esso è responsabile, fra le altre cose, della gestione operativa e finanziaria delle attività della Politica estera di sicurezza comune (PESC) e della componente “risposta alle crisi” dello Strumento per la stabilità (IfS). La complessità del processo decisionale, la dispersione geografica dei soggetti coinvolti (missioni della PSDC - Politica di sicurezza e di difesa comune e i rappresentanti speciali dell’Unione europea/RSUE); l’ambiente operativo delle missioni PSDC, create ex nihilo senza previa garanzia che possano soddisfare requisiti della “valutazione del pilastro” e il livello spesso elevato di corruzione nei paesi teatro delle operazioni creano un contesto di esecuzione del bilancio caratterizzato di per sé da un rischio elevato, di cui i soli responsabili sono i servizi FPI. Rischi così elevati, se non mitigati a sufficienza, potrebbero avere un’influenza sulla garanzia di affidabilità ottenuta dall’FPI da tali entità. Obiettivo dell’audit era valutare l’adeguatezza e l’efficacia della strategia di controllo dell’FPI sulle operazioni della PESC e dell’IfS attuate rispettivamente dalle missioni RSUE/PSDC e dalle delegazioni dell’UE e in particolare i) la definizione ed effettiva attuazione della strategia di controllo posta in essere dall’FPI per sostenere il processo di consolidamento delle garanzie di affidabilità relative alla PESC e all’IfS; ii) la strategia antifronde posta in essere dall’FPI, e iii) i calcoli e la pubblicazione dei tassi d’errore residuo nella RAA dell’FPI per il 2013. Lo IAS ha preso atto del contesto in cui opera l’FPI, che costituisce una sfida in termini di coordinamento e rende più complesso il processo decisionale. Tuttavia, lo IAS ha concluso che, nel fornire garanzie sull’utilizzo delle risorse e considerata la dotazione di bilancio sempre più importante consacrata alle sue attività, l’FPI dovrebbe garantire lo sviluppo di una strategia antifrode per le missioni PSDC/RSUE, consolidare ed applicare efficacemente il sistema di controlli interno e conformarsi alle indicazioni della DG BUDG in sede di calcolo del tasso di errore. Per affrontare tali questioni, l’FPI dovrebbe sviluppare e attuare una strategia di prevenzione e individuazione delle frodi nelle missioni PSDC/RSUE e garantire formazioni inerenti le problematiche antifrode e l’etica, erogate regolarmente al personale addetto all’esecuzione del bilancio della PESC. Le missioni dovrebbero inoltre ricevere indicazioni efficaci a livello centrale rispetto alle questioni di controllo interno e l’FPI dovrebbe rivalutare la propria strategia di controllo migliorando l’efficacia in fase di attuazione, per ridurre al minimo la quantità di spese non ammissibili individuate nei controlli ex-post, oltre che riconsiderare la propria strategia di audit dei mandati. Infine, l’FPI dovrebbe applicare, conformemente con le istruzioni permanenti contenute nella RAA della DG BUDG, un approccio pluriennale per il calcolo del tasso di errore per le attività che sono per loro natura pluriennali, sulla base dei pagamenti effettivamente sottoposti ad audit e adottare misure per attuare un modello di valutazione alternativo a supplemento dell’attuale metodologia per la fornitura della garanzia. Una raccomandazione ritenuta “molto importante” e rivolta all’FPI è stata accettata solo in parte. Lo IAS ha raccomandato all’FPI di documentare meglio il processo decisionale per i recuperi. L’FPI riteneva di aver adottato diverse iniziative per migliorare questo aspetto: tuttavia, dall’audit dello IAS è emerso il perdurare di tali carenze, nonostante le iniziative adottate. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni approvate. Per maggiori dettagli cfr. la sezione 7.5 del documento di lavoro dei servizi della Commissione. 4.6.Audit informatici 4.6.1.Audit congiunto IAS/strutture di audit interno AGRI riguardante la gestione dell’IT locale nella DG AGRI L’attività principale della DG AGRI dipende in gran misura dai suoi sistemi informatici, che fungono principalmente da supporto ai mercati agricoli, agli aiuti diretti e allo sviluppo rurale, e alle attività di gestione finanziaria e di audit a questi collegate. Le attività e le risorse informatiche sono gestite a livello locale, principalmente nell’unità “informatica”. L’obiettivo complessivo dell’audit era valutare il sistema di controllo interno posto in essere dalla DG AGRI per garantire una gestione adeguata ed efficace delle proprie attività informatiche a livello locale.

Nel complesso, lo IAS ha osservato che il sistema informatico locale della DG AGRI assolve efficacemente al proprio mandato, che è quello di sostenere l’attuazione delle attività della DG AGRI fornendo soluzioni informatiche in linea con le esigenze e le priorità operative. Tuttavia, lo IAS ha sollevato nei confronti della DG AGRI due questioni molto importanti in merito alla governance e alla strategia informatiche. E’ opportuno che la DG migliori ulteriormente il quadro della governance informatica definendo con chiarezza i ruoli e le responsabilità dei vari enti/soggetti coinvolti. In particolare, la DG dovrebbe rafforzare il ruolo guida del comitato direttivo per l’informatica (ITSC) e dei comitati direttivi per i sistemi /progetti di informazione nonché la partecipazione della componente operativa al processo decisionale. La DG AGRI dovrebbe anche definire una strategia informatica complessiva che delinei, sul lungo periodo, la direzione che la DG intende dare con gli investimenti nei sistemi informatici e il loro allineamento con i propri obiettivi operativi. Se non affrontate adeguatamente, tali questioni possono comportare un processo decisionale inefficace e inefficiente relativamente alle attività informatiche e uno scarso allineamento di questa funzionalità con gli obiettivi operativi interni della DG. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 8.1 del documento di lavoro dei servizi della Commissione. 4.6.2.Audit riguardante la governance informatica nella DG BUDG La DG BUDG fa ampio ricorso ai sistemi informatici per l’espletamento delle sue mansioni. Il direttore generale è il proprietario dei sistemi d’informazione finanziaria centrali, fra cui ABAC (per la registrazione dell’esecuzione e della contabilità di bilancio), Badgebud (per la predisposizione del bilancio) e RAD (per il seguito dato al discarico annuale), cui manutenzione e sviluppo sono per lo più curati dalla DG BUDG. L’obiettivo generale del presente audit era valutare se la governance informatica della DG BUDG garantisca l’allineamento ottimale fra l’operatività della DG e la componente informatica, una sana gestione delle risorse e soluzioni informatiche efficaci. L’audit si è incentrato sull’attuale quadro di disciplina e vigilanza delle attività informatiche in seno alla DG BUDG. In particolare si è concentrato sulla progettazione e l’attuazione dei processi e delle strutture organizzative in essere per garantire che il servizio informatico apporti un adeguato sostegno alle strategie e agli obiettivi della DG. Nel complesso, la funzione del servizio informatico della DG BUDG fornisce soluzioni informatiche efficaci in termini di disponibilità dei sistemi finanziari, affidabilità dei conti e rispetto degli obblighi di legge. Tuttavia, lo IAS ha individuato questioni molto importanti in merito ai seguenti ambiti: governance informatica, organizzazione informatica e definizione delle priorità, nonché pianificazione delle attività informatiche. La DG BUDG dovrebbe migliorare l’attuale assetto della governance informatica, riesaminando configurazione, composizione e mandato degli organi direttivi e garantendone l’effettivo funzionamento. Le riunioni del comitato direttivo per l’informatica (ITSC) dovrebbero tenersi con maggior frequenza e i ruoli del proprietario dei sistemi, del proprietario della funzione operativa e del proprietario dei dati dovrebbero essere chiariti per i vari sistemi di informazione. La DG BUDG dovrebbe altresì semplificare la propria organizzazione informatica (riorganizzando la funzione informatica in aree omogenee) e consolidare le mansioni del servizio informatico sulla base di un repertorio che riporti le attività inerenti al servizio informatico attualmente svolte nella DG e le competenze disponibili. In particolare, la DG dovrà separare le mansioni concernenti la domanda da quelle dell’offerta di servizi informatici e disciplinare il rapporto fra queste due componenti. La definizione delle priorità e la pianificazione dovrebbero rispondere a criteri di maggiore ottenibilità, con una chiara attribuzione delle responsabilità, per poter erogare i servizi come pianificato, nel rispetto dei tempi ed entro i limiti di bilancio. Nel pianificare le proprie attività informatiche, la DG BUDG dovrebbe pertanto tener conto delle risorse disponibili, così come dei vincoli, onde evitare aspettative irrealistiche e probabili inefficienze/ritardi. La DG dovrebbe anche garantire che le richieste operative siano comunicate tempestivamente al servizio informatico, affinché questo possa pianificare più accuratamente le proprie attività. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 8.2 del documento di lavoro dei servizi della Commissione. 4.6.3.Audit riguardante la gestione dell’accesso logico ai sistemi (finestre ECAS/LDAP/) nella DG DIGIT L’ECAS è il sistema di autenticazione primario utilizzato nella Commissione europea. Si tratta di un archivio unico contenente le credenziali (login, password) ad uso dei circa 1,3 milioni di utenti (interni ed esterni) che accedono ai sistemi informatici interni e locali che fungono da supporto alle attività amministrative, finanziarie e strategiche. L’ECAS è stato sviluppato internamente dalla DG DIGIT e ha sede presso il centro dati. Nel 2013, la DG DIGIT ha avviato un importante progetto (denominato EXODUS) di aggiornamento dell’infrastruttura informatica dell’ECAS e di miglioramento della sua sicurezza, processo ancora in fase di realizzazione. L’obiettivo generale dell’audit era valutare se il sistema di controllo attuato dalla DG DIGIT garantisse sostegno adeguato da parte del servizio di autenticazione dell’ECAS rispetto all’esigenza di avere un accesso sicuro ai sistemi di informazione della Commissione. L’audit ha dimostrato che l’ECAS ha ottenuto buone prestazioni in passato, senza che si siano registrate particolari lamentele da parte degli utenti negli ultimi anni, ed è stato utilizzato da un numero crescente di applicazioni a livello interno e locale. Inoltre, l’ECAS si è anche evoluto per fornire funzionalità aggiuntive e rispondere meglio alle sfide poste dalla sicurezza. Tuttavia, è opportuno che la DG DIGIT migliori ulteriormente la governance dei servizi ECAS e la gestione della sicurezza per offrire servizi di autenticazione più efficaci e sicuri per la comunità di utenti. Lo IAS ha identificato questioni molto importanti nei seguenti ambiti: visione e strategia della gestione integrata di accessi e identità (Identity Access Management, IAM); i criteri di sicurezza per l’ECAS; la gestione e pianificazione dei requisiti del progetto Exodus; la dipendenza ECAS da Active Directory di Windows (AD), Commission Enterprise Directory (CED) e Central User Directory (CUD). Per affrontare tali problematiche, la DG DIGIT dovrebbe aggiornare la visione dell’IAM e garantire che tale funzionalità venga adeguatamente trasposta nel quadro di una strategia di lungo periodo e di piani annuali con chiari obiettivi e servizi erogati.

Inoltre, la DG DIGIT dovrebbe garantire la definizione dei criteri di sicurezza concernenti tutte le parti in causa, documentandoli adeguatamente in un piano di sicurezza. Essa dovrebbe altresì definire con chiarezza la tabella di marcia (con risorse, scadenze e servizi erogati) nell’ambito del progetto Exodus. Infine, la DG DIGIT dovrebbe individuare e valutare le inutili dipendenze da altri componenti e adottare misure di sicurezza appropriate per ridurre la probabilità che si verifichino violazioni del sistema di sicurezza e interruzioni del servizio. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 8.3 del documento di lavoro dei servizi della Commissione. 4.6.4.Audit riguardante la gestione dei progetti informatici nella DG EAC (E4ALink ed EVE) Attualmente la DG EAC gestisce diversi progetti di sviluppo informatico per la fornitura di applicazioni informatiche di sostegno nella gestione della generazione futura di programmi (2014-2020). Nello specifico, la DG EAC accorda un’attenzione particolare alle attività del programma Erasmus+, con un bilancio totale per il periodo 2014-2020 di circa 19 miliardi di euro. I sistemi informatici in via di sviluppo saranno utilizzati dalle unità operative della DG EAC e da agenzie nazionali, agenzie esecutive e beneficiari delle sovvenzioni. Un’adeguata gestione dei progetti informatici è un fattore fondamentale di successo per garantire che i sistemi informatici soddisfino le aspettative degli utenti e siano forniti nel rispetto dei tempi ed entro i limiti di bilancio. In tale contesto, l’obiettivo dell’audit era valutare l’adeguatezza della gestione dei progetti informatici nella DG EAC per quanto concerne il rispetto delle scadenze fissate per il rilascio dei sistemi nella produzione, il rispetto delle disponibilità di bilancio stanziate per i progetti e la qualità dei servizi erogati. Nel complesso, lo IAS ha osservato che la DG ha lavorato per migliorare la gestione dei propri progetti informatici, dirigersi verso un’impostazione coerente e strutturata e attuare un quadro di gestione dei progetti che comprenda governance e strutture organizzative, processi, attività e documentazione. Tuttavia, lo IAS ha individuato margini di miglioramento in ambiti quali la gestione del portafoglio di progetti, la metodologia di gestione dei progetti e la sicurezza logica dei sistemi di informazione. Per affrontare tali questioni, la DG EAC dovrebbe rafforzare i meccanismi di controllo della gestione dei progetti in essere (allineando processi, prodotti e flussi di lavoro dei progetti attuali e futuri al quadro di riferimento PM2), nonché istituire una struttura formale di gestione del programma e del portafoglio. La DG EAC dovrebbe altresì definire e attuare piani di sicurezza sulla scorta dei risultati dell’impatto operativo e delle valutazione dell’impatto e del rischio aziendale e le criticità che ne derivano nei sistemi informatici. Sia la componente operativa che gli specialisti della sicurezza dovrebbero essere coinvolti in queste attività. La DG ha redatto un piano d’azione che lo IAS ha giudicato soddisfacente per dare seguito alle raccomandazioni. Per maggiori dettagli cfr. la sezione 8.4 del documento di lavoro dei servizi della Commissione. 4.6.5.Audit congiunto IAS/strutture di audit interno riguardante la gestione dell’IT locale nella DG MARE Le attività della DG MARE fanno ampio ricorso ai sistemi informatici per conseguire gli obiettivi strategici della politica comune della pesca (PCP) e marittima (PCM). I sistemi di informazione della DG MARE forniscono supporto al programma di gestione integrata dei dati sulla pesca (IFDM), informazioni sull’Atlante dei mari (MarAtlas) e consentono alle pubbliche amministrazioni lo scambio incrociato di dati sul settore marittimo (progetto CISE). L’obiettivo globale dell’audit era valutare il sistema di controllo interno attuato dalla DG MARE per garantire una gestione adeguata ed efficace delle proprie attività informatiche a livello locale. Nel complesso la DG MARE è pienamente consapevole dell’importanza che ricopre il servizio informatico a supporto del raggiungimento del suo obiettivo operativo e vi dedica grande attenzione (ad esempio, tenendo riunioni mensili del comitato direttivo per il servizio informatico) Nonostante la complessità insita nell’ambiente in cui opera la DG e le limitate risorse, il servizio informatico fornisce soluzioni volte a sostenere le politiche della DG. Ciononostante, lo IAS ha individuato questioni molto importanti concernenti la strategia e la governance del servizio informatico, le attività informatiche e la gestione dei progetti informatici. Per affrontare tali questioni, la DG MARE dovrebbe definire e sostenere una strategia informatica formale che comprenda, nel lungo periodo, tutte le attività inerenti il servizio informatico che vanno a sostegno degli scopi operativi. Inoltre, sarebbe opportuno formalizzare un esercizio che consenta di individuare, valutare e dare priorità al fabbisogno di servizi informatici per quanto concerne tutte le politiche poste sotto la responsabilità della DG MARE, attribuendo loro le risorse disponibili. La DG dovrebbe altresì migliorare l’attuale assetto di governance riesaminando il funzionamento degli organi direttivi esistenti (ITSC, gruppi tematici) e costituendo comitati direttivi ad hoc per i programmi e i progetti, affinché possano vigilare sugli aspetti operativi degli stessi. I ruoli, le responsabilità e le modalità di comunicazione dovrebbero essere definite chiaramente e attuate per tutti gli organi direttivi. Nel settore delle attività del servizio informatico, la DG MARE dovrebbe migliorare il quadro di riferimento e le procedure di gestione del cambiamento al fine di dare completa copertura, valutare e rendere prioritarie le richieste di cambiamento in tutti i settori informatici. La DG MARE dovrebbe altresì migliorare la gestione del proprio portafoglio e dei programmi, definendo un quadro adeguato che comprenda l’organizzazione, i ruoli e le responsabilità, i processi e gli strumenti, sia della componente del servizio informatico che di quella operativa. In termini di gestione dei progetti, la DG MARE dovrebbe migliorare il sostegno dato ai gestori operativi e di progetto, progettare e attuare un processo di gestione della qualità e migliorare la funzione di gestione del servizio.