Šiomis sudėtingomis aplinkybėmis Vidaus audito tarnyba atliko tam tikrus auditus, apimančius įvairius duomenų valdymo aspektus. Šių auditų rezultatai aiškiai rodo, kad, orientuojantis į ateitį, minėtoje srityje reikia nemažai patobulinimų, nemažai 2020 m. paskelbtų rekomendacijų yra susijusios su duomenų valdymu.

Atliekant duomenų, informacijos ir žinių valdymo auditą, buvo įvertintas Komisijos duomenų, informacijos ir žinių valdymo strategijos veiksmingumas. Buvo padaryta išvada, kad Komisija turėtų parengti specialią strategiją ir struktūrą, siekdama: 1) pagerinti duomenų, informacijos ir žinių rinkimo, valdymo, dalijimosi jais ir jų išsaugojimo būdus ir 2) sukurti naujų bendradarbiavimo galimybių. Vidaus audito tarnyba pripažino, kad, paisant dabartinės strategijos ir valdymo struktūros ribų, buvo imtasi svarbių veiksmų siekiant užsibrėžti prioritetus, koordinuoti ir administruoti veiklą duomenų, informacijos ir žinių valdymo srityje. Tačiau reikia proporcingų patobulinimų svarbiose srityse, kuriais Komisijai būtų sudarytos sąlygos turėti su jos politiniais tikslais ir prioritetais visapusiškai suderintą duomenų, informacijos ir žinių valdymo strategiją, kad būtų stiprinamas valdymo organo (Informacijos valdymo tarybos) priežiūros vaidmuo ir būtų užtikrinamas veiksmingas duomenų, informacijos ir žinių valdymas. Siūlomais patobulinimais siekiama papildyti veikiančią sistemą, kad būtų galima geriau reaguoti į problemas ir pokyčius, neatskiriamus nuo visapusiškai duomenimis grindžiamos Komisijos veiklos įgyvendinimo.

Su tuo susijęs suderinimo su visos Komisijos lygmens prioritetais ir tikslais klausimas buvo įvardytas audituojant Jungtinio tyrimų centro darbą, kuriuo siekiama pagerinti ES politikos ir žinių valdymą. Jungtinis tyrimų centras yra Europos Komisijos mokslo ir žinių tarnyba. Atsižvelgiant į tai, kad vienas iš pagrindinių jo tikslų – remti ES politiką nepriklausomais aukščiausios kokybės moksliniais įrodymais per visą politikos ciklą įvairiose srityse, vienas iš esminių veiksnių, kad JRC darbas būtų sėkmingas, yra tinkamas duomenų, informacijos ir žinių valdymas. Nors politikos rėmimo ir žinių valdymo procesai yra efektyviai įgyvendinti, kad JRC galėtų sutelkti turimą praktinę patirtį ir laiku pateikti aukštos kokybės rezultatų, tenkinančių kliento politikos rėmimo poreikius, procesų, turinčių poveikį veiksmingam jų įgyvendinimui, struktūra turi nemažą (ir labai svarbų) trūkumą. Visos Komisijos lygmens politikos rėmimo poreikių nustatymas institucijos ir generalinių direktoratų lygmenimis turėtų būti gerokai patobulintas, kad atsižvelgiant į Komisijos prioritetus būtų veiksmingiau nustatomi JRC veiklos prioritetai.

Dar vienas itin svarbus duomenų valdymo aspektas – būtinybė apsaugoti informaciją ir išsaugoti valdomų duomenų konfidencialumą. Tai ypač svarbu įslaptintos informacijos atveju, nes tokios informacijos atskleidimas be leidimo gali gerokai pakenkti ES arba vienos ar kelių jos valstybių narių interesams. Atlikdami programos „Horizontas 2020“ dotacijų valdymo auditą Mokslinių tyrimų vykdomojoje įstaigoje auditoriai nustatė, kad, nors programos „Horizontas 2020“ mokėjimų ir programos „Horizontas 2020“ projektų užbaigimo procesų ex ante tikrinimai buvo veiksmingi, riboto naudojimo ES informaciją apimančių projektų valdymas turėjo trūkumų, galiausiai lėmusių saugumo pažeidimus.

Komisijos skaitmeninė strategija papildo jos duomenų, informacijos ir žinių valdymo strategiją. Skaitmeninėje strategijoje nustatyta suskaitmeninto, į naudotojus orientuoto ir duomenimis grindžiamo administravimo vizija. Viena iš reikiamų šios pertvarkos sąlygų – debesijos kompiuterija. Viešąja debesijos kompiuterija siekiama suteikti tokios naudos kaip verslo lankstumas, lengvas naudojimasis, duomenų prieinamumas, išlaidų taupymas ir tvarumas. Tačiau pradedant naudoti informacinių technologijų sprendimus debesijoje, vienas iš svarbių svarstytinų klausimų taip pat turėtų būti tinkama duomenų apsauga. Atlikdama viešųjų debesijos paslaugų auditą, Vidaus audito tarnyba pripažino pastarųjų kelerių metų pastangas sukurti debesija grindžiamų informacinių technologijų infrastruktūros sprendinių viziją. Vidaus audito tarnyba pripažino veiksmus, kurių Komisija jau ėmėsi siekdama tinkamai pasirengti naudoti viešąsias paslauginės infrastruktūros ir paslauginės platformos debesijos paslaugas, tačiau padarė išvadą, jog, siekiant užtikrinti, kad būtų pasiekti šių debesijos saugumo paslaugų tikslai ir kartu būtų sumažinta rizika, minėtų paslaugų valdymą ir saugumą reikia gerokai pagerinti.

4.1.2.Duomenų apsauga

Atliekant du auditus buvo įvertintas vidaus kontrolės sistemų efektyvumas ir veiksmingumas – šiomis sistemomis atitinkamiems Komisijos generaliniams direktoratams sudaromos sąlygos įrodyti atitiktį Reglamentui (ES) 2018/1725 dėl asmens duomenų apsaugos. Per abu auditus buvo atskleista nemažų taikomų vidaus kontrolės sistemų trūkumų. Tai kelia pavojų Komisijos reputacijai ir gali turėti poveikį jos gebėjimui pasiekti savo bendrąjį tikslą tapti modernia, rezultatyvia ir tvaria Europos Komisija, visų pirma dėl jos itin svarbaus vaidmens Europoje priimant duomenų apsaugos reglamentus.

1.Pirmasis auditas apėmė penkis generalinius direktoratus ir tarnybas institucijos ir vietos lygmenimis, po jo paskelbtos iš viso aštuonios labai svarbios rekomendacijos. Vidaus audito tarnyba padarė išvadą, kad, nors Komisija gerokai pažengė diegdama kontrolės sistemas, kuriomis generaliniams direktoratams ir tarnyboms sudaromos sąlygos įrodyti atitiktį taikytinai teisinei bazei, vis dar reikia atlikti nemažai nemenkų patobulinimų, kad būtų sustiprintas šių sistemų veiksmingumas ir efektyvumas ir galiausiai būtų pasiekta visiška atitiktis. Šie patobulinimai susiję su: 1) bendrąja duomenų apsaugos aspektų valdymo sistema; 2) duomenų apsaugos pareigūno funkcijomis ir veiksmais, kuriais būtų padedama visoje Komisijoje tobulinti duomenų apsaugos procesą, 3) tikslinių priemonių naudojimu siekiant pagerinti atitiktį svarbiausioms Reglamento (ES) 2018/1725 nuostatoms. Šie patobulinimai turėtų būti laikomi papildomomis priemonėmis, kuriomis siekiama pagerinti esamas valdymo struktūras ir procesus, susijusius su duomenų apsaugos aspektais, kartu laikantis dabartinio decentralizuoto Komisijos modelio principų, kurie tebėra aktualūs.

2.Antrasis auditas buvo atliktas Švietimo, jaunimo, sporto ir kultūros generaliniame direktorate, atsakingame už tokias programas kaip „Erasmus+“ ir Europos solidarumo korpusas; remiantis šio audito rezultatais buvo pateikta viena esminė ir keturios labai svarbios rekomendacijos. Šiam generaliniam direktoratui tam tikrus asmens duomenis pateikia daug tų programų dalyvių. Būdamas deleguotasis duomenų valdytojas, generalinis direktoratas tvarko šiuos asmens duomenis ir juos perduoda nacionalinėms ES valstybių narių ir trečiųjų valstybių agentūroms, atsakingoms už projektų įgyvendinimą nacionaliniu lygmeniu. Kartu su nacionalinėmis agentūromis, veikiančiomis kaip duomenų tvarkytojai, Švietimo, jaunimo, sporto ir kultūros generalinis direktoratas turi užtikrinti, kad iš programų dalyvių gautus duomenis tinkamai apsaugotų visi prieigą prie jų turintys subjektai. Vidaus audito tarnyba nustatė, kad: 1) generalinis direktoratas į programų reglamentavimo gairių dokumentus ir susitarimus įtraukė tam tikrus su asmens duomenų apsauga susijusius elementus, 2) asmens duomenų apsauga yra konkrečiai paminėta nacionalinių agentūrų valdymo deklaracijose. Šie elementai yra asmens duomenų tvarkymo kontrolės sistemos pagrindai, tačiau jie ne visada tinkamai įgyvendinami, tiksliau, tarptautinio duomenų perdavimo ES / Europos ekonominei erdvei nepriklausančioms valstybėms atveju jie nelaikytini apsaugos priemonėmis, kaip reikalaujama Reglamente (ES) 2018/1725. Nustatyta, kad taikoma „Erasmus+“ ir Europos solidarumo korpuso programų paramos gavėjų ir dalyvių asmens duomenų apsaugos vidaus kontrolės sistema neefektyviai užtikrina atitiktį svarbiausioms reglamento nuostatoms.

Bendras per abu šiuos auditus kilęs klausimas susijęs su asmens duomenų perdavimu trečiosioms valstybėms. ES ir JAV privatumo skydo pripažinimas negaliojančiu (Sprendimas „Schrems II“) kelia konkrečių problemų tarnyboms, perduodančioms asmens duomenis trečiosioms valstybėms arba naudojančioms debesiją. Reaguodama į Europos duomenų apsaugos priežiūros pareigūno nurodymą, Komisija nustatė daugiau kaip 600 duomenų tvarkymo įrašų, kurie gali būti susiję su probleminiu tarptautiniu asmens duomenų perdavimu. Esminė rekomendacija, kurią Vidaus audito tarnyba adresavo Švietimo, jaunimo, sporto ir kultūros generaliniam direktoratui, buvo susijusi su asmens duomenų perdavimu trečiosioms valstybėms. Po to, kai generalinis direktoratas ėmėsi veiksmų, Vidaus audito tarnyba jau po šios metinės ataskaitos galutinio termino atliko kai kurių audituojamo subjekto įgyvendinamų priemonių vertinimą. Vidaus audito tarnyba padarė išvadą, kad Švietimo, jaunimo, sporto ir kultūros generalinis direktoratas iš dalies sušvelnino riziką, ir atitinkamai sumažino dviejų rekomendacijų rizikos lygį (nuo „esminės“ iki „labai svarbios“ ir nuo „labai svarbios“ iki „svarbios“).

Galiausiai, atliekant kitą su programos „Horizontas 2020“ ekspertų veiklos valdymu susijusį auditą, buvo nustatyta viena ekspertų asmens duomenų tvarkymo problema ir dėl to teko paskelbti labai svarbią rekomendaciją.

4.1.3.Programas įgyvendinančių trečiųjų šalių priežiūros strategijos

Leidimus suteikiantys pareigūnai parengė tinkamas ir veiksmingas deleguotųjų subjektų veiksmingo programų įgyvendinimo ir ES biudžeto apsaugos priežiūros ir stebėsenos bei greito visų nustatytų galimų problemų sprendimo strategijas ir veiksmus. Ankstesniais metais Vidaus audito tarnyba atliko keletą generalinių direktoratų ir tarnybų atliekamos priežiūros, kaip trečiosios šalys įgyvendina programas (ir (arba) politiką), tvarkos auditų. Ji dažnai nustatydavo priežiūros strategijų veiksmingumo trūkumų. Pateikdama bendrąją nuomonę dėl finansų valdymo, Vidaus audito tarnyba šeštus metus (2015–2020 m.) iš eilės nurodė, kad reikia skirti daugiau dėmesio trečiųjų šalių įgyvendinimo politikos priežiūros strategijoms. Per tris auditus 2020 m. visų pirma buvo tikrinami ES įnašai, įgyvendinami netiesioginio valdymo būdu.

Kelių subjektų vertinimo pagal ramsčius auditas institucijos ir vietos lygmenimis įvairiuose išorės veiksmų grupės generaliniuose direktoratuose atskleidė nemažų vidaus kontrolės sistemos trūkumų, susijusių su lėšų delegavimu netiesioginio valdymo būdu. Nors Komisija dėjo daug pastangų įdiegti veiksmingą vertinimo pagal ramsčius sistemą ir toliau investuoja į tolesnį institucinio lygmens požiūrio ugdymą, kad įgyvendinimas būtų darnesnis ir būtų sumažinta didelė būdinga rizika, sistemą reikia gerokai sustiprinti. Tai būtina norint užtikrinti tokį ES biudžeto apsaugos lygį, kuris būtų lygiavertis biudžeto apsaugos lygiui, pasiekiamam, kai biudžetas vykdomas tiesiogiai. Nustatyta didelių trūkumų, susijusių su: 1) susitarimais, pasirašytais su Jungtinių Tautų Sekretoriatu ir atitinkamais subjektais, prieš tai neatlikus pozityviojo vertinimo pagal ramsčius ir nesiėmus tinkamų priežiūros priemonių (dėl šios pastabos Vidaus audito tarnyba audituojamiems subjektams parengė esmines rekomendacijas); 2) neteisinga informacija apie vertinimų pagal ramsčius statusą, dėl kurios generaliniai direktoratai ir tarnybos pasirašė susitarimus su subjektais, prieš tai neatlikę pozityviojo vertinimo pagal ramsčius ir nesiėmę tinkamų priežiūros priemonių; 3) netinkama institucinio lygmens priežiūra; 4) netinkama pagal ramsčius vertinamų subjektų esminių sisteminių pokyčių stebėsena ir 5) nepakankamu generalinių direktoratų ir tarnybų įsitraukimu į trečiųjų šalių atliekamus vertinimus pagal ramsčius. Remdamasi šiomis pastabomis, Vidaus audito tarnyba paskelbė iš viso 4 esmines ir 15 labai svarbių rekomendacijų penkiems susijusiems generaliniams direktoratams. Išsami informacija apie jas pateikiama šios ataskaitos priede.

Be to, per kitus du auditus – 1) Tarptautinės partnerystės generalinio direktorato ir Kaimynystės politikos ir plėtros derybų generalinio direktorato kartu su įgaliotaisiais subjektais vykdomo netiesioginio valdymo auditą ir 2) Europos geostacionarinės navigacinės tinklo sistemos 2014–2020 m. programos įgyvendinimo priežiūros Gynybos pramonės ir kosmoso generaliniame direktorate auditą – susidarė gana teigiama nuomonė apie audituojamus procesus. Per šiuos auditus nebuvo nustatyta jokių esminių ar labai svarbių problemų.

4.1.4.Pasirinktų generalinių direktoratų ir tarnybų kontrolės strategijos

Generaliniai direktoratai ir tarnybos turi užtikrinti programų ir projektų, finansuojamų iš ES biudžeto, teisėtumą, tvarkingumą ir patikimą finansų valdymą. Įgaliotieji leidimus suteikiantys pareigūnai parengia kontrolės strategiją. Ši strategija apima ex ante ir ex post kontrolę, kuria grindžiami pagrindiniai metinio patikinimo pareiškimo struktūriniai elementai. 2020 m. Vidaus audito tarnyba šioje srityje atliko įvairius auditus. Jie apėmė:

1) kontrolės strategijos kūrimo ir įgyvendinimo Vartotojų, sveikatos, žemės ūkio ir maisto programų vykdomojoje įstaigoje auditą; 2) Europos infrastruktūros tinklų priemonės ex post kontrolės strategijos kūrimo ir įgyvendinimo Inovacijų ir tinklų programų vykdomojoje įstaigoje auditą; 3) programos „Horizontas 2020“ ex post audito strategijos Mokslinių tyrimų ir inovacijų generaliniame direktorate auditą ir 4) ex post kontrolės Švietimo, garso ir vaizdo bei kultūros vykdomojoje įstaigoje auditą. Iš 2020 m. auditų rezultatų matyti gana teigiamas vaizdas, nors atlikus du iš keturių auditų buvo nustatyti toliau nurodyti trūkumai.

Bendras įgyvendinimo centras administraciniu požiūriu yra Mokslinių tyrimų ir inovacijų generalinio direktorato dalis ir teikia audito paslaugas įvairioms programos „Horizontas 2020“ įgyvendinimo įstaigoms – jo paties auditoriai arba išorės audito įmonės atlieka finansinius (ex post) auditus paramos gavėjų deklaruotų išlaidų tinkamumui patikrinti. Vidaus audito tarnyba nustatė programos „Horizontas 2020“ ex post audito strategijos struktūros trūkumą ir paskelbė dvi labai svarbias rekomendacijas.

Nors nustatyta, kad Inovacijų ir tinklų programų vykdomosios įstaigos ex post kontrolės strategija apskritai yra tinkamai parengta ir veiksmingai įgyvendinta, vienas trūkumas buvo susijęs su viešųjų pirkimų sutarčių pakeitimų vertinimu atliekant ex post auditus ir su auditą vietoje atliekančių auditorių darbo dokumentacija.