Il piano iniziale di audit 2020 conteneva 43 impegni di audit (aventi a oggetto audit, esami e consulenze, ma non follow-up) da portare a termine entro la data limite del 31 gennaio 2021. Nel piano erano contemplati altri 37 impegni che sarebbero dovuti iniziare prima del 31 gennaio 2021 ed essere portati a termine dopo tale data. Il piano 2020 è stato aggiornato a metà anno. Il comitato di controllo degli audit ha esaminato sia il piano iniziale sia quello aggiornato. Nel 2020 il servizio di audit interno ha svolto anche valutazioni dei rischi approfondite in una serie di direzioni generali e servizi. Sulla base dei risultati di tali valutazioni, il revisore interno ha adottato il piano di audit strategico 2021-2023 per la Commissione.

Il servizio di audit interno non effettua audit dei sistemi di controllo degli Stati membri sui fondi dell'UE. Questo tipo di audit si svolge fino al livello dei singoli beneficiari ed è di competenza dei revisori interni degli Stati membri, delle autorità di audit nazionali, di altre direzioni generali della Commissione e della Corte dei conti europea. Il servizio di audit interno svolge invece audit delle misure adottate dalla Commissione per monitorare e sottoporre ad audit: i) gli organismi degli Stati membri; e ii) altri organismi responsabili dell'erogazione di fondi dell'UE, come ad esempio le Nazioni Unite. Conformemente al regolamento finanziario, il servizio di audit interno può svolgere tali funzioni in loco, anche negli Stati membri.

Il comitato di controllo degli audit assiste il collegio dei commissari nell'adempimento degli obblighi stabiliti dai trattati, dal regolamento finanziario e dagli altri strumenti giuridici. Assolve tale funzione: i) assicurando l'indipendenza del servizio di audit interno; ii) monitorando la qualità dell'attività interna di audit; iii) garantendo che le raccomandazioni formulate a seguito degli audit interni ed esterni siano debitamente prese in considerazione dai servizi della Commissione; e iv) garantendo che tali raccomandazioni ricevano un seguito adeguato. In tal modo il comitato di controllo degli audit contribuisce a migliorare l'efficacia e l'efficienza della Commissione nel raggiungimento degli obiettivi. Il comitato di controllo degli audit agevola inoltre la sorveglianza del collegio sulle prassi della Commissione in materia di governance, gestione dei rischi e controllo interno.

Il servizio di audit interno rende conto e risponde a livello funzionale di tutti i suoi audit al comitato di controllo degli audit. Il servizio di audit interno: i) riferisce al comitato di controllo degli audit i problemi significativi che emergono dai suoi audit e i possibili miglioramenti dei processi sottoposti ad audit; ii) formula un parere complessivo annuale sullo stato della gestione finanziaria in seno alla Commissione; e iii) riferisce (a cadenza perlomeno annuale) in merito alla propria missione e alle proprie prestazioni, secondo quanto previsto dal piano di audit annuale. Tale attività di relazione contempla le rilevanti situazioni di rischio, i problemi in materia di controllo, i problemi inerenti alla governance istituzionale e altre questioni.

Per un'organizzazione del settore pubblico i dati rappresentano un fattore strategico. Le politiche dell'UE e l'attuazione dei programmi dell'UE si basano sui dati in misura sempre maggiore. Per adottare decisioni informate i responsabili politici utilizzano elementi probatori quantificati. Si ricorre ai dati anche per dimostrare le prestazioni del bilancio dell'UE e i progressi compiuti verso il conseguimento degli obiettivi dei relativi programmi di spesa. Fra i servizi della Commissione sarebbe opportuno, se del caso, mettere a disposizione e condividere ampiamente i dati per migliorare l'efficacia in termini di costi. Allo stesso tempo la Commissione deve assicurare il pieno rispetto delle prescrizioni giuridiche e delle altre prescrizioni in materia di riservatezza, garantendo un elevato livello di sicurezza per le informazioni sensibili. La necessità di tutelare alti livelli di privacy, sicurezza, protezione e norme etiche, senza peraltro compromettere il flusso e l'ampio uso dei dati, costituisce parte integrante degli orientamenti politici ed è ribadita nei metodi di lavoro della Commissione von der Leyen.

In linea con la propria metodologia e le proprie migliori prassi il servizio di audit interno ha analizzato le prestazioni in maniera indiretta, esaminando se e come i dirigenti avessero istituito sistemi di controllo atti a valutare le prestazioni (efficienza ed efficacia) delle attività e fornire le relative garanzie. Adottando questo approccio, il servizio di audit interno intende assicurarsi che le direzioni generali e i servizi abbiano elaborato quadri di riferimento delle prestazioni, strumenti di misurazione delle prestazioni, indicatori chiave e sistemi di monitoraggio adeguati.

Nel complesso il servizio di audit interno ritiene che l'attuazione delle sue raccomandazioni sia soddisfacente e in linea con i precedenti periodi di programmazione. Tale situazione indica che i servizi della Commissione attuano le raccomandazioni essenziali e molto importanti con la dovuta diligenza, mitigando in tal modo i rischi individuati dal servizio di audit interno. Ciononostante si dovrebbe prestare attenzione alle singole raccomandazioni classificate molto importanti che sono in notevole ritardo.

Di tali 285 raccomandazioni in sospeso, cinque sono classificate come essenziali, 83 molto importanti e 76 sono in ritardo (ossia non sono state attuate entro la data di attuazione concordata originariamente). Tali raccomandazioni in ritardo rappresentano il 7,5 % delle complessive 1 010 raccomandazioni (parzialmente) accettate. Di tali 76 raccomandazioni in ritardo, sei raccomandazioni molto importanti sono classificate in notevole ritardo (una raccomandazione è in notevole ritardo se risulta ancora in sospeso a oltre sei mesi dalla data di attuazione originaria). Queste raccomandazioni molto importanti in notevole ritardo rappresentano lo 0,6 % del numero totale di raccomandazioni essenziali e molto importanti accettate nel periodo 2016-2020 (rispetto allo 0,3 % del precedente periodo di programmazione).

In un contesto così impegnativo il servizio di audit interno ha effettuato una serie di audit dedicati a diversi aspetti della gestione dei dati. Dai risultati di tali audit emerge chiaramente la necessità di apportare sensibili miglioramenti per l'evoluzione futura di questo settore; nel 2020 è stata formulata una serie di raccomandazioni molto importanti concernenti la gestione dei dati.

L'audit sulla gestione di dati, informazioni e conoscenze ha valutato l'efficacia della strategia della Commissione per la gestione di dati, informazioni e conoscenze. L'audit ha concluso che la Commissione dovrebbe predisporre una struttura e una strategia dedicate allo scopo di: 1) migliorare le modalità di raccolta, gestione, condivisione e conservazione di dati, informazioni e conoscenze; e 2) sviluppare nuove opportunità di lavoro in collaborazione. Il servizio di audit interno ha riconosciuto che, nei limiti dell'attuale assetto strategico e di governance, sono state adottate importanti misure per definire le priorità, coordinare e dirigere le attività nel settore della gestione di dati, informazioni e conoscenze. Sono però necessari miglioramenti proporzionati nei settori chiave, che permetterebbero alla Commissione di dotarsi di una strategia di gestione di dati, informazioni e conoscenze completamente conforme alle priorità e agli obiettivi politici della Commissione stessa, di potenziare il ruolo di sorveglianza dell'organo direttivo (il comitato direttivo per la gestione delle informazioni) e di assicurare una gestione efficace di dati, informazioni e conoscenze. I miglioramenti proposti mirano a integrare il quadro esistente per rispondere in maniera più efficace alle sfide e ai cambiamenti che derivano dall'avvento di una Commissione interamente fondata sui dati.

Nell'audit dedicato all'operato svolto dal Centro comune di ricerca per coadiuvare l'UE nella gestione delle politiche e delle conoscenze è emersa una questione correlata, riguardante l'allineamento alle priorità e agli obiettivi generali della Commissione. Il Centro comune di ricerca è il servizio della Commissione europea per la scienza e la conoscenza. Dal momento che uno dei suoi principali obiettivi è quello di corroborare le politiche dell'UE con l'apporto di prove scientifiche indipendenti della più alta qualità, in tutto il ciclo politico e in un ampio ventaglio di settori, una gestione adeguata di dati, informazioni e conoscenze è un fattore cruciale per il successo del Centro. Benché il sostegno alle politiche e i processi di gestione delle conoscenze siano attuati in maniera efficiente per consentire al Centro di mobilitare le competenze disponibili, allo scopo di offrire tempestivamente risultati di elevata qualità e che soddisfino le esigenze del cliente in materia di sostegno alle politiche, la progettazione dei processi mostra una carenza significativa (molto importante) che ne compromette l'efficace attuazione. Nell'ambito della Commissione sarebbe opportuno rafforzare notevolmente l'individuazione delle esigenze in materia di sostegno alle politiche a livello istituzionale e delle direzioni generali, per consentire di definire in maniera più efficace le priorità nelle attività del Centro, conformemente alle priorità della Commissione.

Un altro aspetto chiave della gestione dei dati è la salvaguardia delle informazioni e la tutela della riservatezza dei dati gestiti. Questo aspetto è ancor più importante per le informazioni riservate poiché la divulgazione non autorizzata di tali informazioni può nuocere gravemente agli interessi dell'UE o di uno o più dei suoi Stati membri. Nel corso dell'audit sulla gestione delle sovvenzioni di Orizzonte 2020 in seno all'Agenzia esecutiva per la ricerca, i revisori, pur constatando l'efficacia dei controlli ex ante sui pagamenti di Orizzonte 2020 e dei processi per la chiusura dei progetti di Orizzonte 2020, hanno rilevato nella gestione dei progetti concernenti le informazioni contrassegnate come "EU-restricted" carenze tali da provocare, in ultima analisi, violazioni della sicurezza.

La strategia digitale della Commissione è complementare alla strategia di gestione di dati, informazioni e conoscenze. La strategia digitale delinea la visione di un'amministrazione trasformata in senso digitale, imperniata sugli utenti e basata sui dati. Uno dei fattori che consentono tale trasformazione è il cloud computing. Il cloud computing pubblico è finalizzato ad apportare benefici come la flessibilità operativa, la facilità d'impiego, la disponibilità dei dati, i risparmi sui costi e la sostenibilità. Anche un'adeguata protezione dei dati peraltro dovrebbe costituire una considerazione cruciale al momento di adottare soluzioni di tecnologie dell'informazione nel cloud. Nell'audit sulla gestione dei servizi cloud pubblici il servizio di audit interno ha riconosciuto gli sforzi compiuti negli ultimi anni per articolare una visione delle soluzioni infrastrutturali delle tecnologie dell'informazione basate sul cloud. Pur riconoscendo le misure già adottate dalla Commissione al fine di porre in atto disposizioni opportune per l'uso dei servizi cloud pubblici di "infrastrutture come servizio" e "piattaforme come servizio", il servizio di audit interno ha rilevato la necessità di migliorare decisamente la governance e la sicurezza di questi servizi cloud di sicurezza, per far sì che essi conseguano i propri obiettivi riducendo contemporaneamente l'esposizione ai rischi.

4.1.2.Protezione dei dati

Due audit hanno valutato l'efficienza e l'efficacia dei sistemi di controllo interno che consentono alle direzioni generali interessate della Commissione di dimostrare la conformità al regolamento (UE) 2018/1725 sulla tutela dei dati personali. Entrambi gli audit hanno rilevato gravi carenze nei sistemi di controllo interno attualmente in funzione. Ciò espone la Commissione a rischi reputazionali, che possono compromettere il conseguimento dell'obiettivo generale di diventare una Commissione europea moderna, ad elevate prestazioni e sostenibile, in particolare a causa del suo ruolo chiave nell'adozione di normative in materia di protezione dei dati in Europa.

1.Il primo audit ha riguardato cinque direzioni generali e servizi a livello istituzionale e locale, e ha dato origine in totale a otto raccomandazioni molto importanti. Il servizio di audit interno, pur riconoscendo i validi progressi compiuti dalla Commissione nella predisposizione di sistemi di controllo che consentano alle direzioni generali e ai servizi di dimostrare la conformità alla base giuridica applicabile, ha rilevato che rimane necessaria una serie di significativi miglioramenti per consolidare l'efficacia e l'efficienza di tali sistemi nell'evoluzione verso la piena conformità. Tali miglioramenti riguardano: 1) il quadro generale che disciplina gli aspetti della protezione dei dati; 2) il ruolo e le azioni del responsabile della protezione dei dati nel promuovere il processo di protezione dei dati in tutta la Commissione; e 3) l'uso di misure mirate per migliorare la conformità alle disposizioni principali del regolamento (UE) 2018/1725. Tali miglioramenti si dovrebbero considerare misure complementari volte a rafforzare i processi e le strutture di governance esistenti per le questioni di protezione dei dati, pur rispettando i principi dell'attuale modello decentrato della Commissione, che rimangono validi.

2.Il secondo audit, effettuato presso la direzione generale dell'Istruzione, della gioventù, dello sport e della cultura che è responsabile di programmi come Erasmus+ e il Corpo europeo di solidarietà, ha dato luogo a una raccomandazione essenziale e a quattro raccomandazioni molto importanti. Nel contesto della partecipazione a tali programmi, moltissime persone comunicano alcuni dati personali alla direzione generale. In qualità di titolare del trattamento delegato, la direzione generale tratta questi dati personali e li trasmette alle agenzie nazionali negli Stati membri dell'UE e nei paesi terzi, che sono incaricate di attuare i progetti a livello nazionale. Insieme alle agenzie nazionali, che agiscono come responsabili del trattamento dei dati, la direzione generale dell'Istruzione, della gioventù, dello sport e della cultura è tenuta a garantire che i dati ricevuti dai partecipanti ai programmi siano adeguatamente protetti da tutti i soggetti che hanno accesso a tali dati. Il servizio di audit interno ha rilevato che: 1) la direzione generale ha introdotto taluni elementi concernenti la protezione dei dati personali nei documenti di riferimento e negli accordi che disciplinano i programmi; e 2) la protezione dei dati personali è citata esplicitamente nelle dichiarazioni di gestione delle agenzie nazionali. Benché costituiscano componenti fondamentali del sistema di controllo per il trattamento dei dati personali, questi elementi non sono sempre attuati in maniera adeguata e più specificamente non costituiscono le garanzie richieste dal regolamento (UE) 2018/1725 per i trasferimenti internazionali di dati al di fuori dei paesi dell'UE/dello Spazio economico europeo. Il sistema di controllo interno vigente per la protezione dei dati personali dei beneficiari e dei partecipanti ai programmi di Erasmus+ e del Corpo europeo di solidarietà non è stato giudicato efficace per garantire la conformità alle disposizioni principali del regolamento.

Una questione trasversale che è emersa da questi due audit riguarda il trasferimento di dati personali a paesi terzi. La dichiarazione di invalidità dello scudo UE-USA per la privacy (la "sentenza Schrems II") pone gravi problemi ai servizi che trasferiscono dati personali a paesi terzi oppure utilizzano il cloud. In risposta a un ordine del garante europeo della protezione dei dati, la Commissione ha rilevato oltre 600 casi documentati di trattamenti che potrebbero riguardare trasferimenti internazionali problematici di dati personali. La raccomandazione essenziale indirizzata dal servizio di audit interno alla direzione generale dell'Istruzione, della gioventù, dello sport e della cultura riguardava il trasferimento di dati personali a paesi terzi. In seguito all'azione adottata dalla direzione generale, dopo la data limite della presente relazione annuale il servizio di audit interno ha effettuato una valutazione di alcune delle misure introdotte dall'entità controllata. Il servizio di audit interno ha concluso che la direzione generale dell'Istruzione, della gioventù, dello sport e della cultura ha parzialmente attenuato i rischi e di conseguenza ha declassato il livello di rischio per due raccomandazioni (da "essenziale" a "molto importante" e da "molto importante" a "importante").

Infine, in un altro audit relativo alla gestione di esperti nelle sovvenzioni di Orizzonte 2020 è stato rilevato un problema riguardante il trattamento dei dati personali degli esperti stessi, che ha dato luogo a una raccomandazione molto importante.

4.1.3.Strategie di vigilanza riguardanti l'attuazione di programmi da parte di terzi

Gli ordinatori devono elaborare strategie e attività adeguate ed efficaci per la vigilanza e il monitoraggio dell'efficace attuazione dei programmi e la protezione del bilancio dell'UE da parte delle entità delegate, nonché per affrontare tempestivamente qualsiasi potenziale difficoltà che sia stata individuata. Negli anni scorsi il servizio di audit interno ha svolto diversi audit sulle modalità di vigilanza in uso presso le direzioni generali e i servizi riguardo all'attuazione di programmi (e/o politiche) da parte di terzi. Ha spesso individuato carenze nell'efficacia delle strategie di vigilanza. Nel proprio parere complessivo sulla gestione finanziaria il servizio di audit interno ha formulato per sei anni consecutivi (dal 2015 al 2020) un richiamo di informativa per le strategie di vigilanza sulle politiche attuate da terzi. Nel 2020 tre audit sono stati dedicati ai contributi UE attuati tramite gestione indiretta.

Dall'audit riguardante più entità sulle valutazioni per pilastro sono emerse significative carenze nel sistema di controllo interno per la delega di fondi in regime di gestione indiretta, a livello istituzionale e locale in una serie di direzioni generali della "famiglia" Azione esterna. Benché la Commissione abbia compiuto decisi sforzi per introdurre un sistema efficace di valutazioni per pilastro e continui a investire nell'ulteriore sviluppo di un approccio istituzionale per rendere più coerente l'attuazione e mitigare i forti rischi intrinseci, il sistema ha bisogno di essere notevolmente rafforzato. Ciò è necessario per garantire un livello di protezione del bilancio dell'UE equivalente a quello dell'attuazione diretta del bilancio. Le significative carenze individuate riguardano: 1) gli accordi firmati con il segretariato delle Nazioni Unite e con le entità collegate senza una preliminare valutazione per pilastro positiva e senza adottare misure di vigilanza adeguate (quest'osservazione ha dato luogo a raccomandazioni essenziali formulate dal servizio di audit interno alle entità controllate); 2) informazioni inesatte sullo stato delle valutazioni per pilastro che hanno indotto le direzioni generali e i servizi a firmare accordi con alcune entità senza una preliminare valutazione per pilastro positiva e senza adottare misure di vigilanza adeguate; 3) sorveglianza istituzionale inadeguata; 4) monitoraggio inadeguato dei cambiamenti sistemici sostanziali nelle entità soggette a una valutazione per pilastro; e 5) coinvolgimento insufficiente delle direzioni generali e dei servizi nelle valutazioni per pilastro effettuate da terzi. Sulla base di tali osservazioni, il servizio di audit interno ha trasmesso complessivamente quattro raccomandazioni essenziali e 15 raccomandazioni molto importanti alle cinque direzioni generali interessate. Per ulteriori dettagli si rimanda all'allegato della presente relazione.

Allo stesso tempo gli altri due audit riguardanti 1) la gestione indiretta presso entità delegate nella direzione generale per i Partenariati internazionali e nella direzione generale della Politica di vicinato e dei negoziati di allargamento e 2) la vigilanza sull'attuazione del programma 2014-2020 per il servizio europeo di copertura per la navigazione geostazionaria nella direzione generale per l'Industria della difesa e lo spazio hanno delineato un quadro generalmente positivo dei processi soggetti a audit. Tali audit non hanno individuato alcun problema essenziale o molto importante.

4.1.4.Strategie di controllo per le direzioni generali e i servizi selezionati

Le direzioni generali e i servizi hanno l'obbligo di garantire la legalità, la regolarità e la sana gestione finanziaria dei programmi e dei progetti finanziati utilizzando il bilancio dell'UE. Gli ordinatori delegati progettano una strategia di controllo. Tale strategia contempla controlli ex ante ed ex post, che rappresentano i principali elementi su cui si basa la dichiarazione annuale di affidabilità. Nel 2020 il servizio di audit interno ha effettuato vari audit in questo settore, comprendenti:

1) un audit sulla progettazione e sull'attuazione della strategia di controllo nell'Agenzia esecutiva per i consumatori, la salute, l'agricoltura e la sicurezza alimentare; 2) un audit sull'efficacia della progettazione e dell'attuazione della strategia di controllo ex post per il meccanismo per collegare l'Europa nell'Agenzia esecutiva per l'innovazione e le reti; 3) un audit sulla strategia di audit ex post di Orizzonte 2020 nella direzione generale della Ricerca e dell'innovazione; e 4) un audit sui controlli ex post nell'Agenzia esecutiva per l'istruzione, gli audiovisivi e la cultura. Gli audit del 2020 delineano un quadro generalmente positivo, benché due dei quattro audit abbiano rivelato le seguenti carenze.

Dal punto di vista amministrativo il Centro comune di attuazione fa parte della direzione generale della Ricerca e dell'innovazione e fornisce servizi di audit per i vari organi esecutivi di Orizzonte 2020 tramite audit finanziari (ex post) effettuati dai propri revisori oppure da società di revisione contabile esterne per verificare l'ammissibilità dei costi dichiarati dai beneficiari. Il servizio di audit interno ha individuato una carenza nella progettazione della strategia di audit ex post per Orizzonte 2020 e ha formulato due raccomandazioni molto importanti.

Benché nell'Agenzia esecutiva per l'innovazione e le reti la strategia di controllo ex post sia stata giudicata, nel complesso, progettata adeguatamente ed efficacemente attuata, una carenza riguardava la valutazione delle modifiche dei contratti di appalto in occasione degli audit ex post e la documentazione del lavoro svolto dai revisori in loco.