C 167/1

KOMISIJOS PRANEŠIMAS

Metinių audito ataskaitų, kurios turi būti teikiamos pagal Direktyvos 2014/40/ES 15 straipsnio 8 dalį, atsižvelgiant į ES tabako gaminių atsekamumo sistemą, gairės

(Tekstas svarbus EEE)

(2020/C 167/01)

ATSAKOMYBĖS RIBOJIMO PAREIŠKIMAS. Šio dokumento tikslas – pateikti gaires patvirtintam auditoriui dėl audito apimties ir metinės audito ataskaitos pateikimo procedūros. Jis nėra teisiškai privalomas, tačiau jame pateikiamos bendros gairės su rekomendacijomis ir aptariama geriausia praktika. Šios gairės nedaro poveikio jokioms nacionalinėms taisyklėms.

1. Įvadas

Europos Parlamento ir Tarybos direktyvos 2014/40/ES (1) 15 straipsnyje numatyta sukurti ES masto tabako gaminių atsekamumo sistemą, siekiant spręsti neteisėtos prekybos problemą.Sistema pradėjo veikti 2019 m. gegužės 20 d.

Direktyvos 2014/40/ES 15 straipsnio 8 dalyje reikalaujama, kad valstybės narės užtikrintų, kad tabako gaminių gamintojai ir importuotojai sudarytų duomenų saugojimo sutartis su nepriklausoma trečiąja šalimi (toliau – trečioji šalis paslaugų teikėja), kad būtų sukurta duomenų saugykla, kurioje būtų saugomi atskirų gamintojų ir importuotojų duomenys, susiję su tabako gaminiais (toliau – pirminė saugykla).

Siekiant užtikrinti nepriklausomą atsekamumo sistemos veikimą, Direktyvos 2014/40/ES 15 straipsnio 8 dalyje nustatyta, kad išorės auditorius stebi pirminės saugyklos ir jos trečiosios šalies paslaugų teikėjos veiklą. Auditorių pasiūlo ir jam už darbą moka tabako gamintojas, o jį patvirtina Komisija. Išorės auditorius nacionalinėms kompetentingoms institucijoms ir Komisijai pateikia savo vertinimą – metinę ataskaitą, kurioje visų pirma įvertinami visi su prieiga susiję pažeidimai.

Šiame dokumente pateikiamos patvirtintam auditoriui skirtos gairės dėl audito apimties ir metinės audito ataskaitos pateikimo procedūros. Juo turėtų būti vadovaujamasi kartu su Komisijos įgyvendinimo reglamentu (ES) 2018/574 (2), kuriuo nustatomi atsekamumo sistemos, įskaitant pirmines saugyklas, sukūrimo ir veikimo techniniai reikalavimai, ir Komisijos deleguotuoju reglamentu (ES) 2018/573 (3), kuriuo nustatomi pagrindiniai duomenų saugojimo sutarčių, kurios turi būti sudarytos kaip atsekamumo sistemos dalis, elementai.

Šis dokumentas teikiamas kaip pagalba patvirtintiems auditoriams. Tai yra neprivalomos gairės, kurios nesukuria jokių naujų teisinių prievolių. Tiek, kiek pagal šias gaires galima aiškinti teisės aktus, Komisijos pozicija nedaromas joks poveikis šios direktyvos aiškinimui, kurį galėtų pateikti Europos Sąjungos Teisingumo Teismas.

2. Bendros auditų aplinkybės

Kiekvienai pirminei saugyklai, dėl kurios gamintojas yra sudaręs sutartį, taikomas kasmetinio audito procesas. Jeigu ta pati trečioji šalis paslaugų teikėja valdo dvi ar daugiau pirminių saugyklų, turėtų būti atliekamas atskiras kiekvienos saugyklos auditas ir pateikiama atskira audito ataskaita.

Turėtų būti atliekamas pirminės saugyklos ir su ja susijusių paslaugų auditas, įskaitant vertinimą, ar atitinkama trečioji šalis paslaugų teikėja ir, jei taikoma, jos subrangovai atitinka atitinkamus teisės aktų reikalavimus, nustatytus Direktyvoje 2014/40/ES, Įgyvendinimo reglamente (ES) 2018/574 ir Deleguotajame reglamente (ES) 2018/573.

Kiekvienas gamintojas ar importuotojas turi pranešti Komisijai apie auditorių, kurį jis siūlo savo pirminės saugyklos auditui atlikti, ir atitinkamą trečiąją šalį paslaugų teikėją. Visi pasiūlyti auditoriai turi būti patvirtinti Komisijos.

3. Audito apimtis

Apimtis ir tikslas

Audito ataskaitos turėtų būti teikiamos siekiant informuoti nacionalines kompetentingas institucijas ir Komisiją apie auditorių nustatytus faktus, visų pirma apie visus pažeidimus, susijusius su prieiga prie pirminėse saugyklose saugomų duomenų.

Audito ataskaitose kiekvienai iš toliau nurodytų šešių sričių turėtų būti skirti atskiri skyriai. Kiekviename skyriuje turėtų būti aptariami atitinkamos srities tikrinimo punktai, išvardyti priede pateiktame kontroliniame sąraše.

Auditas turėtų būti atliekamas pagal tą kontrolinį sąrašą, kuriame nustatytos reikalaujamos sritys ir patikros taškai pagal standartą ISO/IEC 27001:2013 dėl informacijos saugumo valdymo sistemų (4). Tuo tikslu auditoriai turėtų atkreipti dėmesį į tai, kad Komisijos deleguotojo reglamento (ES) 2018/573 10 straipsnyje daroma nuoroda į standartą ISO/IEC 27001:2013 kaip į informacijos saugumo valdymo standartą, kuriam teikiama pirmenybė eksploatuojant pirmines saugyklas.

Sritis Tikslai Organizacinis ir fizinis saugumas Sukurti organizacijos informacijos saugumo valdymo sistemą. Užtikrinti, kad darbuotojai ir rangovai suprastų savo pareigas ir būtų tinkami jų funkcijoms atlikti. Užkirsti kelią nesankcionuotai fizinei prieigai prie organizacijos, įskaitant informaciją ir informacijos apdorojimo įrangą, žalos padarymui ar veiklos sutrikdymui. Užkirsti kelią turto praradimui, sugadinimui, vagystei ar neteisėtam atskleidimui ir organizacijos veiklos nutraukimui. Operacijų saugumas Užtikrinti, kad informacijos apdorojimo įrenginiai veiktų tinkamai ir saugiai. Apsisaugoti nuo duomenų praradimo. Registruoti įvykius ir teikti įrodymus. Užtikrinti operacinių sistemų vientisumą. Užkirsti kelią techninių trūkumų išnaudojimui. Prieigos kontrolė (naudotojų ir taikomųjų programų). Apriboti prieigą prie informacijos ir informacijos apdorojimo įrenginių. Užtikrinti įgaliotųjų naudotojų prieigą ir užkirsti kelią nesankcionuotai prieigai prie sistemos ir paslaugų. Užtikrinti, kad naudotojai būtų atskaitingi už savo autentiškumo patvirtinimo informacijos apsaugą. Užkirsti kelią nesankcionuotai prieigai prie sistemų ir taikomųjų programų. Užtikrinti, kad informacijos saugumas būtų planuojamas ir užtikrinamas per visą informacinių sistemų kūrimo ciklą. Ryšių saugumas Užtikrinti tinkamą ir veiksmingą kriptografijos naudojimą, kad būtų apsaugotas informacijos konfidencialumas, autentiškumas ir (arba) vientisumas. Užtikrinti informacijos apsaugą tinkluose ir pagalbinėse informacijos apdorojimo priemonėse. Išlaikyti organizacijoje ir išorės subjektuose perduodamos informacijos saugumą. Veiklos tęstinumas Užtikrinti nuoseklų ir veiksmingą informacijos apie saugumo incidentus valdymo metodą, įskaitant pranešimus apie su saugumu susijusius įvykius ir saugumo trūkumus. Informacijos saugumo tęstinumo užtikrinimas turi būti įtrauktas į veiklos tęstinumo valdymo sistemas. Užtikrinti informacijos apdorojimo įrenginių prieinamumą. Vengti teisinių, įstatyminių, reguliavimo ar sutartinių įsipareigojimų, susijusių su informacijos saugumu, pažeidimų ir bet kokių saugumo reikalavimų pažeidimų. Turtas ir duomenų vientisumas Identifikuoti organizacijos turtą ir nustatyti atitinkamą atsakomybę už apsaugą. Užtikrinti, kad informacija būtų tinkamai apsaugota. Užkirsti kelią laikmenose saugomos informacijos neteisėtam atskleidimui, pakeitimui, pašalinimui ar sunaikinimui.

Išvados ir rekomendacijos

Audito išvados turėtų būti pateikiamos dėl kiekvieno kontroliniame sąraše nurodyto tikrinimo punkto.

Audito ataskaitoje turėtų būti tik akcentuojami ir išsamiai išdėstomi nustatyti faktai, susiję su neatitikties problemomis ar kita nustatyta rizika. Išvados taip pat turėtų būti pateikiamos kartu su atitinkamomis rekomendacijomis, kuriose būtų nurodyti veiksmai, reikalingi audito metu nustatytoms problemoms ir trūkumams pašalinti.

4. Procedūriniai aspektai

Dažnumas

Reikalaujama, kad auditoriai audito ataskaitas teiktų kasmet. Kadangi atsekamumo sistema pradėjo veikti 2019 m. gegužės 20 d., auditoriai raginami iki 2020 m. lapkričio 30 d. pateikti savo pirmąsias metines audito ataskaitas, apimančias pirmuosius atsekamumo sistemos veiklos metus (t. y. nuo 2019 m. gegužės 20 d. iki 2020 m. gegužės 19 d.). Po to auditoriai raginami iki kiekvienų kalendorinių metų spalio mėn. pabaigos pateikti kitų veiklos metų metines ataskaitas.

Tolesni veiksmai

Jeigu imamasi tolesnių veiksmų siekiant įvertinti, ar susijusi trečioji šalis paslaugų teikėja tinkamai įgyvendino metinės audito ataskaitos rekomendacijas, auditorius, jei įmanoma, raginamas pateikti rezultatus Komisijai ir nacionalinėms kompetentingoms institucijoms per tris mėnesius nuo metinės audito ataskaitos pateikimo.

5. Procedūriniai audito ataskaitų aspektai

Informacija auditoriams

Audito ataskaitos įžangoje turėtų būti nurodyti auditoriaus (-ių) pavardė (-ės) ir, kai taikoma, susijusios (-ių) audito įmonės (-ių) pavadinimai.

Formatas

Audito ataskaita turėtų būti pateikiama elektronine forma (tinkama paieškai, neapsaugota PDF formatu).

Jei įmanoma, auditoriai raginami teikti Komisijai metines ataskaitas anglų kalba.

Pateikimo procedūra

Metinė audito ataskaita ir tolesnių veiksmų ataskaita turėtų būti pateiktos elektroniniu paštu šiuo adresu: SANTE-TT-SW@ec.europa.eu, nurodant tokią temą: „[metai] Audit report [Follow up to the audit report] – [Gamintojo, su kuriuo sudaryta sutartis, pavadinimas] – [Trečiosios šalies paslaugų teikėjos, kuri yra audituojama, pavadinimas]“

Skaidrumas

Siekdama skatinti bendrą tabako gaminių atsekamumo sistemos skaidrumą ir atskaitomybę, Komisija ragina gamintojus savanoriškai susitarti su atitinkamais savo auditoriais, kad jie Komisijai taip pat pateiktų viešą savo audito ataskaitos versiją, išskyrus visus asmens ir neskelbtinus komercinius duomenis.

Tokios viešos audito ataskaitų versijos būtų skelbiamos tam skirtame Komisijos tinklalapyje.

(1) 2014 m. balandžio 3 d. Europos Parlamento ir Tarybos direktyva 2014/40/ES dėl valstybių narių įstatymų ir kitų teisės aktų nuostatų, reglamentuojančių tabako ir susijusių gaminių gamybą, pateikimą ir pardavimą, suderinimo ir kuria panaikinama Direktyva 2001/37/EB (OL L 127, 2014 4 29, p. 1).

(2) 2017 m. gruodžio 15 d. Komisijos įgyvendinimo reglamentas (ES) 2018/574 dėl tabako gaminių atsekamumo sistemos sukūrimo ir veikimo techninių standartų (OL L 96, 2018 4 16, p. 7).

(3) 2017 m. gruodžio 15 d. Komisijos deleguotasis reglamentas (ES) 2018/573, dėl duomenų saugojimo sutarčių, sudarytinų taikant tabako gaminių atsekamumo sistemą, pagrindinių elementų (OL L 96, 2018 4 16, p. 1).

(4) ISO/IEC 27001:2013. Informacinės technologijos. Saugumo metodai. Informacijos saugumo valdymo sistemos. Reikalavimai Standarte ISO/IEC 27001:2013 nustatyti reikalavimai yra bendro pobūdžio ir skirti taikyti visoms organizacijoms, neatsižvelgiant į jų tipą, dydį ar pobūdį.