F’dan il-kuntest ta’ sfida, is-Servizz tal-Awditjar Intern wettaq sensiela ta’ awditi li jkopru aspetti differenti tal-ġestjoni tad-data. Ir-riżultati ta’ dawn l-awditi jindikaw b’mod ċar li huwa meħtieġ titjib sinifikanti f’dan il-qasam, b’għadd ta’ rakkomandazzjonijiet importanti ħafna maħruġa fl-2020 li huma relatati mal-ġestjoni tad-data.

L-awditu tal-ġestjoni tad-data, tal-informazzjoni u tal-għarfien ivvaluta l-effettività tal-istrateġija tal-Kummissjoni għall-ġestjoni tad-data, tal-informazzjoni u tal-għarfien. Ikkonkluda li l-Kummissjoni jenħtieġ li tistabbilixxi strateġija u struttura apposta bil-għan li: (1) ittejjeb il-mod kif jinġabru, jiġu ġestiti, jiġu kondiviżi u jiġu ppreservati d-data, l-informazzjoni u l-għarfien; u (2) jiġu żviluppati opportunitajiet ġodda għal ħidma kollaborattiva. Is-Servizz tal-Awditjar Intern irrikonoxxa li fil-limiti tal-istrateġija kurrenti u tal-istruttura tal-governanza, ittieħdu passi importanti biex jiġu stabbiliti prijoritajiet, jiġu kkoordinati u jiġu ġestiti l-attivitajiet fil-qasam tal-ġestjoni tad-data, tal-informazzjoni u tal-għarfien. Madankollu, hemm bżonn ta’ titjib proporzjonat f’oqsma ewlenin li jippermetti lill-Kummissjoni jkollha strateġija ta’ ġestjoni tad-data, tal-informazzjoni u tal-għarfien allinjata bis-sħiħ mal-objettivi u mal-prijoritajiet politiċi tagħha, biex jissaħħaħ ir-rwol ta’ sorveljanza tal-korp ta’ tmexxija (il-Bord ta’ Tmexxija tal-Ġestjoni tal-Informazzjoni) u biex tiġi żgurata ġestjoni effettiva tad-data, tal-informazzjoni u tal-għarfien. It-titjib propost għandu l-għan li jikkomplementa l-qafas eżistenti, biex iwieġeb aħjar għall-isfidi u għall-bidliet li ġġib magħha l-implimentazzjoni ta’ Kummissjoni xprunata bis-sħiħ mid-data.

Kwistjoni relatata ta’ allinjament mal-prijoritajiet u mal-objettivi għall-Kummissjoni kollha ġiet identifikata fl-awditu dwar il-ħidma taċ-Ċentru Konġunt tar-Riċerka b’appoġġ għall-politika u l-ġestjoni tal-għarfien tal-UE. Iċ-Ċentru Konġunt tar-Riċerka huwa s-servizz tax-xjenza u l-għarfien tal-Kummissjoni Ewropea. Meta wieħed iqis li wieħed mill-objettivi ewlenin tiegħu huwa li jappoġġa l-politiki tal-UE bl-ogħla kwalità ta’ evidenza xjentifika indipendenti matul iċ-ċiklu kollu tal-politika f’varjetà ta’ oqsma, ġestjoni adegwata tad-data, tal-informazzjoni u tal-għarfien hija fattur kritiku ta’ suċċess għaċ-Ċentru. Għalkemm l-appoġġ tal-politika u l-proċessi tal-ġestjoni tal-għarfien huma implimentati b’mod effiċjenti biex iċ-Ċentru jkun jista’ jimmobilizza l-għarfien espert disponibbli biex jipprovdi riżultati ta’ kwalità għolja f’waqthom, li jissodisfaw il-ħtiġijiet ta’ appoġġ tal-politika tal-klijent, hemm dgħufija sinifikanti (importanti ħafna) fid-disinn tal-proċessi li taffettwa l-implimentazzjoni effettiva tagħhom. L-identifikazzjoni mifruxa mal-Kummissjoni kollha tal-ħtiġijiet ta’ appoġġ għall-politika fil-livell korporattiv u tad-Direttorat Ġenerali jenħtieġ li tissaħħaħ b’mod sinifikanti biex tkun tista’ ssir prijoritizzazzjoni aktar effettiva tal-attivitajiet taċ-Ċentru, f’konformità mal-prijoritajiet tal-Kummissjoni.

Aspett ewlieni ieħor tal-ġestjoni tad-data huwa s-salvagwardja tal-informazzjoni u l-preservazzjoni tal-kunfidenzjalità tad-data ġestita. Dan huwa aktar u aktar importanti għal informazzjoni kklassifikata, peress li l-iżvelar mhux awtorizzat ta’ tali informazzjoni jista’ jagħmel ħsara sinifikanti lill-interessi tal-UE jew ta’ Stat Membru wieħed jew aktar tagħha. Fl-awditu dwar il-ġestjoni tal-għotjiet ta’ Orizzont 2020 fl-Aġenzija Eżekuttiva għar-Riċerka, l-awdituri sabu li għalkemm il-kontrolli ex-ante fuq il-pagamenti ta’ Orizzont 2020 u l-proċessi għall-għeluq tal-proġetti ta’ Orizzont 2020 kienu effettivi, kien hemm dgħufijiet fil-ġestjoni ta’ proġetti li jinvolvu informazzjoni ristretta mill-UE, li fl-aħħar mill-aħħar irriżultaw fi ksur tas-sigurtà.

L-istrateġija diġitali tal-Kummissjoni tikkomplementa l-istrateġija tagħha dwar il-ġestjoni tad-data, tal-informazzjoni u tal-għarfien. L-istrateġija diġitali tistabbilixxi viżjoni għal amministrazzjoni trasformata b’mod diġitali, iffukata fuq l-utent u xprunata mid-data. Wieħed mill-faċilitaturi ta’ din it-trasformazzjoni huwa l-cloud computing. Il-cloud computing pubbliku għandu l-għan li jġib benefiċċji bħall-aġilità tan-negozju, il-faċilità tal-użu, id-disponibbiltà tad-data, l-iffrankar tal-ispejjeż u s-sostenibbiltà. Madankollu, protezzjoni adegwata tad-data jenħtieġ li tkun ukoll kunsiderazzjoni ewlenija meta jiġu adottati soluzzjonijiet tat-teknoloġija tal-informazzjoni fil-cloud. Fl-awditu dwar il-ġestjoni tas-servizzi pubbliċi tal-cloud, is-Servizz tal-Awditjar Intern irrikonoxxa l-isforzi li saru f’dawn l-aħħar snin biex tiġi żviluppata viżjoni ta’ soluzzjonijiet ta’ infrastruttura tat-teknoloġija tal-informazzjoni bbażati fuq il-cloud. Filwaqt li jirrikonoxxi l-passi li diġà ttieħdu mill-Kummissjoni biex tistabbilixxi arranġamenti xierqa għall-użu ta’ servizzi pubbliċi tal-cloud ta’ “infrastruttura bħala servizz” u ta’ “pjattaforma bħala servizz”, is-Servizz tal-Awditjar Intern ikkonkluda li l-governanza u s-sigurtà ta’ dawn is-servizzi tas-sigurtà tal-cloud kellhom bżonn jissaħħu b’mod sinifikanti biex jiġi żgurat li jilħqu l-objettivi tagħhom filwaqt li titnaqqas l-iskopertura għar-riskju.

4.1.2.Protezzjoni tad-data

Żewġ awditi vvalutaw l-effiċjenza u l-effettività tas-sistemi ta’ kontroll intern li jippermettu lid-Direttorati Ġenerali tal-Kummissjoni kkonċernati juru konformità mar-Regolament (UE) 2018/1725 dwar il-protezzjoni ta’ data personali. Iż-żewġ awditi żvelaw dgħufijiet sinifikanti fis-sistemi ta’ kontroll intern fis-seħħ. Dan jesponi lill-Kummissjoni għal riskji għar-reputazzjoni, li jistgħu jaffettwaw l-ilħuq tal-objettiv ġenerali tagħha li ssir “Kummissjoni Ewropea moderna, bi prestazzjoni għolja u sostenibbli”, b’mod partikolari minħabba r-rwol ewlieni tagħha fl-adozzjoni tar-regolamenti dwar il-protezzjoni tad-data fl-Ewropa.

1.L-ewwel awditu kopra ħames Direttorati Ġenerali u servizzi fil-livell korporattiv u lokali u wassal għal tmien rakkomandazzjonijiet importanti ħafna b’kollox. Is-Servizz tal-Awditjar Intern ikkonkluda li, għalkemm il-Kummissjoni għamlet progress tajjeb fl-istabbiliment ta’ sistemi ta’ kontroll li jippermettu lid-Direttorati Ġenerali u lis-servizzi juru konformità mal-bażi legali applikabbli, għad hemm għadd ta’ titjib sinifikanti meħtieġ biex jissaħħu l-effettività u l-effiċjenza ta’ dawn is-sistemi fil-mixja lejn il-kisba ta’ konformità sħiħa. Dawn jikkonċernaw: (1) il-qafas ġenerali li jirregola l-aspetti tal-protezzjoni tad-data; (2) ir-rwol u l-azzjonijiet tal-uffiċjal tal-protezzjoni tad-data biex jappoġġa l-proċess tal-protezzjoni tad-data fil-Kummissjoni kollha; u (3) l-użu ta’ miżuri mmirati biex itejbu l-konformità mad-dispożizzjonijiet ewlenin tar-Regolament (UE) 2018/1725. Dan it-titjib jenħtieġ li jitqies bħala miżuri komplementari mmirati lejn it-tisħiħ tal-istrutturi u l-proċessi ta’ governanza eżistenti relatati ma’ kwistjonijiet ta’ protezzjoni tad-data, filwaqt li jiġu rispettati l-prinċipji tal-mudell deċentralizzat kurrenti tal-Kummissjoni, li jibqgħu validi.

2.It-tieni awditu sar fid-Direttorat Ġenerali għall-Edukazzjoni, iż-Żgħażagħ, l-Isport u l-Kultura li huwa responsabbli għal programmi bħall-Erasmus+ u l-Korp Ewropew ta’ Solidarjetà, u wassal għal rakkomandazzjoni kritika waħda u għal erba’ rakkomandazzjonijiet importanti ħafna. Fil-kuntest tal-parteċipazzjoni tagħhom f’dawn il-programmi, għadd kbir ta’ persuni jipprovdu xi data personali lid-Direttorat Ġenerali. Bħala kontrollur tad-data delegat, id-Direttorat Ġenerali jipproċessa din id-data personali u jibgħatha lill-Aġenziji Nazzjonali fl-Istati Membri tal-UE u lil pajjiżi terzi, li huma responsabbli għall-implimentazzjoni tal-proġetti fil-livell nazzjonali. Flimkien mal-Aġenziji Nazzjonali, li jaġixxu bħala proċessuri tad-data, id-Direttorat Ġenerali għall-Edukazzjoni, iż-Żgħażagħ, l-Isport u l-Kultura għandu jiżgura li d-data riċevuta mill-parteċipanti għall-programmi tkun protetta b’mod adegwat mill-atturi kollha li jkollhom aċċess għal din id-data. Is-Servizz tal-Awditjar Intern sab li: (1) id-Direttorat Ġenerali introduċa ċerti elementi relatati mal-protezzjoni tad-data personali fid-dokumenti ta’ gwida u fil-ftehimiet li jirregolaw il-programmi; u (2) il-protezzjoni tad-data personali hija msemmija b’mod espliċitu fid-dikjarazzjonijiet ta’ ġestjoni tal-Aġenziji Nazzjonali. Dawn l-elementi huma elementi kostitwenti tas-sistema ta’ kontroll għall-immaniġġjar tad-data personali, madankollu mhux dejjem jiġu implimentati b’mod adegwat u b’mod aktar speċifiku ma jikkostitwixxux is-salvagwardji, kif meħtieġ mir-Regolament (UE) 2018/1725, għat-trasferimenti internazzjonali tad-data barra mill-pajjiżi tal-UE/taż-Żona Ekonomika Ewropea. Is-sistema ta’ kontroll intern fis-seħħ għall-protezzjoni tad-data personali tal-benefiċjarji u tal-parteċipanti fil-programmi tal-Erasmus+ u tal-Korp Ewropew ta’ Solidarjetà ma nstabitx li kienet effettiva biex tiġi żgurata l-konformità mad-dispożizzjonijiet ewlenin tar-Regolament.

Kwistjoni trasversali li ħarġet minn dawn iż-żewġ awditi tikkonċerna t-trasferiment ta’ data personali lil pajjiżi terzi. L-invalidazzjoni tat-Tarka tal-Privatezza UE-U.S. (is-“sentenza Schrems II”) toħloq sfidi konkreti għas-servizzi li jittrasferixxu data personali lil pajjiżi terzi jew li jużaw il-cloud. Bi tweġiba għal ordni tal-Kontrollur Ewropew għall-Protezzjoni tad-Data, il-Kummissjoni qieset aktar minn 600 rekord ta’ pproċessar li jistgħu jikkonċernaw trasferimenti internazzjonali problematiċi ta’ data personali. Ir-rakkomandazzjoni kritika indirizzata mis-Servizz tal-Awditjar Intern lid-Direttorat Ġenerali għall-Edukazzjoni, iż-Żgħażagħ, l-Isport u l-Kultura kienet relatata mat-trasferiment ta’ data personali lil pajjiżi terzi. Wara l-azzjoni meħuda mid-Direttorat Ġenerali, is-Servizz tal-Awditjar Intern wettaq, wara d-data tal-għeluq ta’ dan ir-rapport annwali, valutazzjoni ta’ xi wħud mill-miżuri implimentati mill-entità awditjata. Is-Servizz tal-Awditjar Intern ikkonkluda li d-Direttorat Ġenerali għall-Edukazzjoni, iż-Żgħażagħ, l-Isport u l-Kultura mmitiga parzjalment ir-riskji u, b’riżultat ta’ dan, naqqas il-livell ta’ riskju għal żewġ rakkomandazzjonijiet (minn “kritiċi” għal “importanti ħafna” u minn “importanti ħafna” għal “importanti”).

Fl-aħħar nett, f’awditu ieħor relatat mal-ġestjoni tal-esperti fl-għotjiet ta’ Orizzont 2020, instabet kwistjoni waħda dwar l-ipproċessar tad-data personali tal-esperti, li wasslet għal rakkomandazzjoni importanti ħafna.

4.1.3.Strateġiji ta’ superviżjoni għall-implimentazzjoni ta’ programmi minn partijiet terzi

L-uffiċjali awtorizzanti jridu jistabbilixxu strateġiji u attivitajiet adegwati u effettivi għas-superviżjoni u għall-monitoraġġ tal-implimentazzjoni effettiva tal-programmi u tal-protezzjoni tal-baġit tal-UE mill-entitajiet delegati, u biex jindirizzaw minnufih kwalunkwe diffikultà potenzjali identifikata. Fis-snin preċedenti, is-Servizz tal-Awditjar Intern wettaq diversi awditi tal-arranġamenti ta’ superviżjoni fis-seħħ f’Direttorati Ġenerali u f’servizzi għall-implimentazzjoni ta’ programmi (u/jew ta’ politiki) minn partijiet terzi. Dan identifika ta’ spiss dgħufijiet fl-effettività tal-istrateġiji ta’ superviżjoni. Fl-opinjoni ġenerali tiegħu dwar il-ġestjoni finanzjarja, is-Servizz tal-Awditjar Intern ifformola osservazzjonijiet għal sitt snin konsekuttivi (mill-2015 sal-2020) dwar l-istrateġiji ta’ superviżjoni ta’ politiki ta’ implimentazzjoni ta’ partijiet terzi. Fl-2020, tliet awditi ffukaw fuq il-kontribuzzjonijiet tal-UE implimentati permezz ta’ ġestjoni indiretta.

L-awditu ta’ diversi entitajiet dwar il-valutazzjonijiet tal-pilastri żvela dgħufijiet sinifikanti fis-sistema ta’ kontroll intern għad-delega ta’ fondi taħt ġestjoni indiretta, fil-livell korporattiv u lokali f’għadd ta’ Direttorati Ġenerali tal-familja ta’ azzjoni esterna. Minkejja li l-Kummissjoni wettqet sforzi serji biex tistabbilixxi sistema effettiva għall-valutazzjonijiet tal-pilastru u qed tkompli tinvesti fl-iżvilupp ulterjuri ta’ approċċ korporattiv biex tiżdied implimentazzjoni koerenti u jitnaqqsu r-riskji inerenti għoljin, is-sistema teħtieġ tisħiħ sinifikanti. Dan huwa meħtieġ biex jiġi żgurat livell ta’ protezzjoni tal-baġit tal-UE li jkun ekwivalenti għal meta l-baġit jiġi implimentat direttament. In-nuqqasijiet sinifikanti identifikati jikkonċernaw (1) ftehimiet iffirmati mas-Segretarjat tan-Nazzjonijiet Uniti u ma’ entitajiet relatati mingħajr valutazzjoni pożittiva minn qabel tal-pilastru u mingħajr ma ttieħdu miżuri superviżorji xierqa (din l-osservazzjoni wasslet biex jiġu fformulati rakkomandazzjonijiet kritiċi mis-Servizz tal-Awditjar Intern lil dawk awditjati); (2) informazzjoni mhux korretta dwar l-istatus tal-valutazzjonijiet tal-pilastru li wasslu lid-Direttorati Ġenerali u lis-servizzi biex jiffirmaw ftehimiet ma’ entitajiet mingħajr valutazzjoni pożittiva minn qabel tal-pilastru u mingħajr ma jieħdu miżuri superviżorji xierqa; (3) sorveljanza korporattiva inadegwata; (4) monitoraġġ inadegwat tal-bidliet sostantivi fis-sistema tal-entitajiet ivvalutati skont il-pilastru; u (5) involviment insuffiċjenti mid-Direttorati Ġenerali u mis-servizzi fil-valutazzjonijiet tal-pilastru mwettqa minn partijiet terzi. Abbażi ta’ dawn l-osservazzjonijiet, is-Servizz tal-Awditjar Intern ħareġ b’mod ġenerali erba' rakkomandazzjonijiet kritiċi u 15-il rakkomandazzjoni importanti ħafna b’kollox lilll-ħames Direttorati Ġenerali kkonċernati. Id-dettalji tagħhom jinsabu fl-anness ta’ dan ir-rapport.

Fl-istess ħin, iż-żewġ awditi l-oħrajn ta’ (1) ġestjoni indiretta ma’ entitajiet fdati fid-Direttorat Ġenerali għas-Sħubijiet Internazzjonali u d-Direttorat Ġenerali għan-Negozjati tal-Viċinat u t-Tkabbir u (2) is-superviżjoni tal-implimentazzjoni tal-programm tal-2014-2020 għas-sistema Ewropea ta’ navigazzjoni b’kopertura ġeostazzjonarja fid-Direttorat Ġenerali għall-Industrija tad-Difiża u l-ispazju pinġew stampa ġeneralment pożittiva tal-proċessi awditjati. Dawn l-awditi ma identifikaw l-ebda kwistjoni kritika jew importanti ħafna.

4.1.4.Strateġiji ta’ kontroll għal Direttorati Ġenerali u servizzi magħżula

Id-Direttorati Ġenerali u s-servizzi jridu jiżguraw il-legalità, ir-regolarità u l-ġestjoni finanzjarja tajba tal-programmi u tal-proġetti ffinanzjati bl-użu tal-baġit tal-UE. L-uffiċjali tal-awtorizzazzjoni b’delega jfasslu strateġija ta’ kontroll. Din l-istrateġija tinkludi kontrolli ex ante u ex post li jipprovdu l-elementi kostitwenti ewlenin li jappoġġaw id-dikjarazzjoni annwali ta’ aċċertament. Fl-2020, is-Servizz tal-Awditjar Intern wettaq diversi awditi f’dan il-qasam. Dawn inkludew:

(1) awditu dwar it-tfassil u l-implimentazzjoni tal-istrateġija ta’ kontroll fl-Aġenzija; Eżekuttiva għall-Konsumatur, is-Saħħa, l-Agrikoltura u l-Ikel; (2) awditu dwar l-effettività tat-tfassil u tal-implimentazzjoni tal-istrateġija ta’ kontroll ex post għall-Faċilità Nikkollegaw l-Ewropa fl-Aġenzija Eżekuttiva għall-Innovazzjoni u n-Networks; (3) awditu dwar l-istrateġija tal-awditjar ex post ta’ Orizzont 2020 fid-Direttorat Ġenerali għar-Riċerka u l-Innovazzjoni; u (4) awditu dwar il-kontrolli ex post fl-Aġenzija Eżekuttiva għall-Edukazzjoni, l-Awdjoviżiv u l-Kultura. L-awditi tal-2020 jagħtu stampa ġeneralment pożittiva, anki jekk tnejn mill-erba’ awditi wrew id-dgħufijiet li ġejjin.

Iċ-Ċentru Komuni ta’ Implimentazzjoni huwa parti amministrattiva mid-Direttorat Ġenerali għar-Riċerka u l-Innovazzjoni u jipprovdi servizzi tal-awditjar għad-diversi korpi ta’ implimentazzjoni ta’ Orizzont 2020 permezz ta’ awditi finanzjarji (ex post), imwettqa jew mill-awdituri tiegħu stess jew minn ditti tal-awditjar esterni, biex tiġi vverifikata l-eliġibbiltà tal-kostijiet iddikjarati mill-benefiċjarji. Is-Servizz tal-Awditjar Intern identifika dgħufija fit-tfassil tal-istrateġija tal-awditjar ex post għal Orizzont 2020 u ħareġ żewġ rakkomandazzjonijiet importanti ħafna.

Għalkemm fl-Aġenzija Eżekuttiva għall-Innovazzjoni u n-Networks, l-istrateġija ta’ kontroll ex post instabet li hija mfassla b’mod adegwat u implimentata b’mod effettiv b’mod ġenerali, dgħufija waħda kienet tikkonċerna l-valutazzjoni tal-emendi tal-kuntratti ta’ akkwist matul l-awditi ex post u d-dokumentazzjoni tal-ħidma mwettqa mill-awdituri fuq il-post.