AAN HET EUROPEES PARLEMENT, DE RAAD EN DE REKENKAMER Jaarverslag aan de kwijtingsautoriteit over de in 2020 uitgevoerde interne controles

In onderstaande grafieken zijn de soorten afgeronde opdrachten en verslagen uitgesplitst. Op de afsluitingsdatum 31 januari 2021 was 95 % van het bijgewerkte auditplan 2020 uitgevoerd (namelijk 100 % van de assurance-opdrachten die volgens de planning in 2020 moesten worden afgerond, terwijl de voltooiing van twee adviesopdrachten opnieuw werd geprioriteerd en uitgesteld tot 2021). Dit auditplan omvatte audits bij de Commissie en uitvoerende agentschappen .

De dienst Interne Audit voerde het auditplan 2020 uit in de context van de COVID-19-pandemie, waarbij vanaf medio maart 2020 bedrijfscontinuïteitsregelingen waren ingevoerd, overeenkomstig de regelingen van de Commissie op organisatieniveau. Ondanks de uitdagingen die de uitzonderlijke omstandigheden in 2020 met zich meebrachten, voltooide de dienst Interne Audit 137 “opdrachten” (audits, advies, follow-ups en controles), evenals één risicobeoordeling, en publiceerde hij 140 verslagen (inclusief follow-upberichten en één managementletter). Dit werd verwezenlijkt met behulp van de digitaliseringsmogelijkheden die de Commissie ter beschikking staan, met instrumenten die efficiënte en doeltreffende controleprocessen op afstand ondersteunen.

Controlesystemen die door de lidstaten worden gebruikt om de besteding van de EU-middelen na te gaan, worden niet door de dienst Interne Audit gecontroleerd. Dergelijke audits gaan tot op het niveau van individuele begunstigden en worden uitgevoerd door de interne controleurs van de lidstaten, de nationale controleautoriteiten of andere directoraten-generaal van de Commissie en de Europese Rekenkamer. De dienst Interne Audit controleert echter wel de maatregelen die door de Commissie worden genomen om toezicht te houden en controle uit te oefenen: i) op instanties in de lidstaten; en ii) op andere organisaties die voor het uitbetalen van EU-gelden verantwoordelijk zijn, zoals de Verenigde Naties. Zoals in het Financieel Reglement is bepaald, kan de dienst Interne Audit deze taken ter plaatse, ook in de lidstaten, uitvoeren.

De dienst Interne Audit brengt verslag uit — en legt functioneel verantwoording af — aan het Comité follow-up audit. De dienst Interne Audit: i) brengt aan het Comité follow-up audit verslag uit over belangrijke problemen die voortvloeien uit zijn audits, en mogelijke verbeteringen voor de gecontroleerde processen; ii) geeft een jaarlijks algemeen oordeel over de stand van het financieel beheer in de Commissie; en iii) brengt (ten minste eenmaal per jaar) verslag uit over zijn taak en prestaties, zoals vastgesteld in zijn jaarlijkse auditplan. Deze verslaglegging omvat belangrijke risicoposities, auditvraagstukken, problemen in verband met corporate governance en andere aangelegenheden.

De dienst Interne Audit verricht zijn werkzaamheden overeenkomstig het Financieel Reglement, de internationale normen voor professionele interne audit (International Standards for the Professional Practice of Internal Auditing) en de gedragscode van het Institute of Internal Auditors.

De onafhankelijkheid van de dienst Interne Audit is verankerd in het Financieel Reglement en in zijn door de Commissie goedgekeurde taakomschrijving. In deze taakomschrijving is onder meer bepaald dat de controleurs van de dienst Interne Audit hun onafhankelijkheid ten opzichte van de activiteiten en verrichtingen die zij beoordelen, moeten bewaren teneinde de objectiviteit van hun oordelen te waarborgen en belangenconflicten te vermijden. In geval van een feitelijke of ogenschijnlijke aantasting van hun objectiviteit, zouden de details daarvan medegedeeld moeten worden. Indien de interne controleur dit noodzakelijk acht, kan hij/zij zich rechtstreeks tot de Voorzitter van de Commissie en/of tot het college richten.

Middels dit verslag worden het Europees Parlement en de Raad, als onderdeel van de kwijtingsprocedure, geïnformeerd over de interne audits die in 2020 door de dienst Interne Audit van de Europese Commissie zijn verricht binnen de directoraten-generaal van de Commissie, haar diensten en uitvoerende agentschappen. Het verslag omvat: i) een samenvatting van het aantal en de soorten uitgevoerde interne audits; ii) een synthese van de gedane aanbevelingen; en iii) het gevolg dat aan die aanbevelingen is gegeven. Overeenkomstig artikel 118, lid 8, en artikel 247 van het Financieel Reglement zendt de Commissie het verslag toe aan het Europees Parlement en de Raad. Het is gebaseerd op het verslag dat de intern controleur van de Commissie overeenkomstig artikel 118, lid 4, van het Financieel Reglement heeft opgesteld aangaande in 2020 voltooide audit- en adviesverslagen van de dienst Interne Audit.

Gegevens zijn een strategische troef voor een organisatie in de openbare sector. De beleidsmaatregelen van de EU en de uitvoering van de EU-programma’s worden steeds sterker door gegevens gestuurd. Beleidsmakers gebruiken gekwantificeerde informatie om doordachte besluiten te nemen. Gegevens worden ook gebruikt om aan te tonen hoe de EU-begroting heeft gepresteerd en welke vorderingen er zijn gemaakt met betrekking tot de verwezenlijking van de doelstellingen van de uitgavenprogramma’s. Gegevens moeten in alle diensten van de Commissie ruimschoots beschikbaar zijn en waar passend worden gedeeld om de kosteneffectiviteit te verbeteren. Tegelijkertijd moet de Commissie de volledige naleving van de wettelijke vereisten en andere geheimhoudingsregels waarborgen en een hoog beveiligingsniveau voor gevoelige informatie garanderen. De noodzaak om strenge normen op het gebied van privacy, veiligheid, beveiliging en ethiek te handhaven zonder de informatiestroom te belemmeren en het brede gebruik van gegevens af te remmen, vormt een integraal onderdeel van de politieke beleidslijnen van de Commissie-Von der Leyen en wordt beklemtoond in haar werkmethoden.

In de volgende rubrieken worden de conclusies van de dienst Interne Audit betreffende de diverse prestatiegerelateerde aspecten van zijn in 2020 uitgevoerde audits uiteengezet.

Overeenkomstig de door de dienst gehanteerde methodologie en beste praktijken heeft de dienst Interne Audit de prestaties op een indirecte wijze beoordeeld, namelijk door na te gaan of en hoe het management controlesystemen heeft opgezet om de prestaties (doelmatigheid en doeltreffendheid) van zijn activiteiten te beoordelen en zeker te stellen. Met deze benadering wil de dienst Interne Audit garanderen dat directoraten-generaal en diensten over passende prestatiekaders en instrumenten voor prestatiemeting, kernindicatoren en monitoringsystemen beschikken.

Om bij te dragen aan de prestatiegerichte cultuur binnen de Commissie en de grotere nadruk die zij legt op kosteneffectiviteit verder te ondersteunen, heeft de dienst Interne Audit in 2020 twee soorten audits uitgevoerd: doelmatigheidsaudits en uitgebreide audits die belangrijke aspecten van de prestaties bestrijken. Deze audits werden opgenomen in het strategische auditplan van de dienst Interne Audit voor de periode 2019-2021.

Een overzicht van deze zeer belangrijke en al geruime tijd zonder gevolg gebleven aanbevelingen is opgenomen in deel 3 van de bijlage bij dit verslag. Over de uitvoering van de aanbevelingen inzake interne audit is een speciaal verslag opgesteld en naar het Comité follow-up audit gestuurd.

Van deze 285 onafgehandelde aanbevelingen zijn er 5 als “cruciaal” en 83 als “zeer belangrijk” aangemerkt, terwijl er 76 zonder gevolg zijn (d.w.z. niet uitgevoerd per de oorspronkelijk overeengekomen datum). Deze aanbevelingen zonder gevolg maken 7,5 % van het totale aantal (gedeeltelijk) aanvaarde aanbevelingen (1 010) uit. Van deze 76 aanbevelingen zonder gevolg zijn 6 zeer belangrijke aanbevelingen ingedeeld als geruime tijd zonder gevolg (een aanbeveling is geruime tijd zonder gevolg als de aanbeveling meer dan zes maanden na de oorspronkelijk overeengekomen uitvoeringsdatum nog niet afgehandeld is). Deze zeer belangrijke aanbevelingen die al geruime tijd zonder gevolg zijn, vertegenwoordigen slechts 0,6 % van het totale aantal cruciale en zeer belangrijke aanvaarde aanbevelingen in de periode 2016-2020 (tegen 0,3 % in de voorgaande verslagperiode).

Over de periode 2016-2020 zijn 725 (72 %) van het totale aantal van 1 010 (gedeeltelijk) aanvaarde aanbevelingen dat door de dienst Interne Audit is gedaan, door de gecontroleerden beoordeeld als uitgevoerd op de afsluitdatum van 31 januari 2021. Dit betekent dat 285 aanbevelingen (28 %) nog niet afgehandeld zijn.

In 2020 aanvaardden de gecontroleerden alle 185 aanbevelingen van de dienst Interne Audit. In alle gevallen hebben de gecontroleerden actieplannen opgesteld, die zij vervolgens hebben voorgelegd aan de dienst Interne Audit die de plannen op zijn beurt voldoende achtte.

In onderstaande figuur wordt het aantal aanbevelingen weergegeven dat de dienst Interne Audit in 2020 heeft gedaan.

In deze uitdagende context heeft de dienst Interne Audit een reeks audits uitgevoerd in verband met verschillende aspecten van het gegevensbeheer. Uit de resultaten van deze audits is duidelijk gebleken dat er in de toekomst aanzienlijke verbeteringen noodzakelijk zijn op dit gebied, waarbij in 2020 een aantal zeer belangrijke aanbevelingen zijn gedaan in verband met gegevensbeheer.

Aan de hand van de audit van het gegevens-, informatie- en kennisbeheer werd de effectiviteit beoordeeld van de strategie die de Commissie hanteert bij haar gegevens-, informatie- en kennisbeheer. De conclusie was dat de Commissie een specifieke strategie en structuur dient op te zetten om: 1) de manier te verbeteren waarop gegevens, informatie en kennis worden verzameld, beheerd, gedeeld en bewaard; en 2) nieuwe mogelijkheden voor onderlinge samenwerking te ontwikkelen. De dienst Interne Audit erkende dat binnen de grenzen van de huidige strategie- en governance-opzet belangrijke stappen werden gezet om prioriteiten vast te stellen, en de activiteiten op het gebied van gegevens-, informatie- en kennisbeheer te coördineren en te beheren. Voor belangrijke gebieden zijn er echter evenredige verbeteringen noodzakelijk zodat de Commissie een strategie inzake gegevens-, informatie- en kennisbeheer kan toepassen die volledig is afgestemd op haar beleidsdoelstellingen en -prioriteiten, de toezichthoudende rol van het bestuurslichaam (de Information Management Steering Board, stuurgroep informatiebeheer) kan verbeteren en voor een doeltreffend gegevens-, informatie- en kennisbeheer kan zorgen. De voorgestelde verbeteringen zijn bedoeld om het bestaande kader aan te vullen, teneinde beter in te spelen op de uitdagingen en veranderingen die een volledig gegevensgestuurde Commissie met zich meebrengt.

Een daarmee verband houdende kwestie betreffende de afstemming op de prioriteiten en doelstellingen voor de gehele Commissie werd aangewezen in de audit van de werkzaamheden van het Gemeenschappelijk Centrum voor onderzoek ter ondersteuning van het beleids- en kennisbeheer van de EU. Het Gemeenschappelijk Centrum voor onderzoek (JRC) is de wetenschappelijke en kennisdienst van de Europese Commissie. Aangezien een van de belangrijkste doelstellingen van het JRC erin bestaat het EU-beleid gedurende de volledige beleidscyclus te ondersteunen met onafhankelijke wetenschappelijke gegevens van de hoogste kwaliteit op tal van gebieden, is een correct beheer van gegevens, informatie en kennis een kritische succesfactor voor het JRC. De processen inzake beleidsondersteuning en kennisbeheer worden weliswaar doeltreffend uitgevoerd zodat het JRC in staat is de beschikbare expertise te mobiliseren om tijdig resultaten van hoge kwaliteit te leveren, die tegemoetkomen aan de behoeften van de cliënt inzake beleidsondersteuning, maar toch bestaat er een aanzienlijke (zeer belangrijke) tekortkoming in het ontwerp van de processen waardoor de doeltreffende uitvoering ervan wordt aangetast. De Commissiebrede identificatie van behoeften inzake beleidsondersteuning op organisatieniveau en op het niveau van de directoraten-generaal moet fors worden versterkt om een effectievere prioritering van de activiteiten van het JRC mogelijk te maken, in overeenstemming met de prioriteiten van de Commissie.

Een ander belangrijk aspect van het gegevensbeheer is de beveiliging van informatie en het bewaren van de vertrouwelijkheid van de beheerde gegevens. Dit is des te belangrijker als er sprake is van gerubriceerde informatie, aangezien niet-geautoriseerde openbaarmaking van die informatie de belangen van de EU of van een of meer van haar lidstaten ernstig zou kunnen schaden. Bij de audit van het Horizon 2020-subsidiebeheer in het Uitvoerend Agentschap onderzoek kwamen de controleurs tot de vaststelling dat de controles vooraf op de Horizon 2020-betalingen en de processen voor de sluiting van Horizon 2020-projecten weliswaar doeltreffend waren, maar dat er tekortkomingen bestonden in het beheer van projecten waarbij door de EU als vertrouwelijk aangemerkte informatie betrokken was, hetgeen uiteindelijk leidde tot schendingen van de beveiliging.

De digitale strategie van de Commissie vormt een aanvulling op haar strategie inzake gegevens-, informatie- en kennisbeheer. De digitale strategie zet een visie uiteen in verband met een gedigitaliseerde, gebruikersgerichte en gegevensgestuurde administratie. Een van de zaken die deze transformatie mogelijk maakt, is cloudcomputing. Openbare cloudcomputing is gericht op voordelen zoals soepele bedrijfsvoering, gebruiksgemak, beschikbaarheid van gegevens, kostenbesparingen en duurzaamheid. Toereikende gegevensbescherming moet echter ook een belangrijke overweging zijn wanneer wordt gekozen voor IT-oplossingen in de cloud. Tijdens de audit betreffende het beheer van openbare clouddiensten erkende de dienst Interne Audit de inspanningen die de voorbije jaren zijn gedaan om een visie te ontwikkelen van cloudgebaseerde IT-infrastructuuroplossingen. Hoewel de stappen werden erkend die de Commissie reeds heeft gezet om passende regelingen in te voeren voor het gebruik van openbare IaaS- en PaaS-clouddiensten (infrastructuur resp. platform als een service), concludeerde de dienst Interne Audit dat de governance en de beveiliging van deze clouddiensten aanzienlijk moeten worden verbeterd om te waarborgen dat zij hun doelstellingen behalen terwijl hun blootstelling aan risico’s vermindert.

4.1.2.Gegevensbescherming

Aan de hand van twee audits werden de doeltreffendheid en doelmatigheid beoordeeld van de internecontrolesystemen die de betrokken directoraten-generaal van de Commissie in staat stellen aan te tonen dat zij Verordening (EU) 2018/1725 betreffende de bescherming van persoonsgegevens naleven. Beide audits brachten significante tekortkomingen in de bestaande internecontrolesystemen aan het licht. Dit betekent dat de Commissie is blootgesteld aan reputatierisico’s, die nadelige gevolgen kunnen hebben voor de verwezenlijking van haar algemene doelstelling om een moderne, sterk presterende en duurzame Europese Commissie te worden, met name gezien haar sleutelrol bij de vaststelling van regelgeving inzake gegevensbescherming in Europa.

1.De eerste audit betrof vijf directoraten-generaal en diensten op organisatieniveau en op lokaal niveau en leidde tot in totaal acht zeer belangrijke aanbevelingen. De dienst Interne Audit stelde vast dat de Commissie goede vorderingen heeft gemaakt met het invoeren van controlesystemen die de directoraten-generaal en diensten in staat stellen aan te tonen dat zij de toepasselijke rechtsgrondslag naleven, maar dat er nog een aantal aanzienlijke verbeteringen moeten worden doorgevoerd om de doeltreffendheid en doelmatigheid van deze systemen te versterken zodat uiteindelijk volledige naleving kan worden verwezenlijkt. Het betreft: 1) het algemene kader betreffende aspecten van de gegevensbescherming; 2) de rol en maatregelen van de functionaris voor gegevensbescherming ter ondersteuning van het gegevensbeschermingsproces in de gehele Commissie; en 3) het gebruik van doelgerichte maatregelen om de naleving van de belangrijkste bepalingen van Verordening (EU) 2018/1725 te verbeteren. Deze verbeteringen moeten worden beschouwd als aanvullende maatregelen die gericht zijn op een verbetering van de bestaande governancestructuren en -processen in verband met gegevensbeschermingskwesties, waarbij de beginselen van het huidige decentrale model van de Commissie, die geldig blijven, worden geëerbiedigd.

2.De tweede audit werd verricht in het directoraat-generaal Onderwijs, Jongerenzaken, Sport en Cultuur dat verantwoordelijk is voor programma’s zoals Erasmus+ en het Europees Solidariteitskorps, en gaf aanleiding tot één cruciale en vier zeer belangrijke aanbevelingen. In de context van hun deelname aan deze programma’s verstrekken heel veel personen enkele persoonsgegevens aan het directoraat-generaal. Het directoraat-generaal verwerkt deze gegevens in zijn hoedanigheid van gedelegeerde verwerkingsverantwoordelijke en stuurt ze door naar de nationale agentschappen in de lidstaten en in derde landen, die belast zijn met de uitvoering van de projecten op nationaal niveau. Samen met de nationale agentschappen, die optreden als gegevensverwerkers, moet het directoraat-generaal Onderwijs, Jongerenzaken, Sport en Cultuur ervoor zorgen dat de gegevens die van de deelnemers aan de programma’s afkomstig zijn op toereikende wijze worden beschermd door alle actoren die toegang hebben tot deze gegevens. De dienst Interne Audit stelde vast dat: 1) het directoraat-generaal bepaalde elementen in verband met de bescherming van persoonsgegevens introduceerde in de leidraden en overeenkomsten in het kader van de programma’s; en 2) de bescherming van persoonsgegevens uitdrukkelijk wordt vermeld in de beheersverklaringen van de nationale agentschappen. Deze elementen zijn bouwstenen van het controlesysteem voor de behandeling van persoonsgegevens, maar worden niet altijd op passende wijze toegepast en vormen meer bepaald geen waarborgen, zoals vereist volgens Verordening (EU) 2018/1725, voor internationale doorgiften van gegevens buiten de EU/landen van de Europese Economische Ruimte. Het bestaande internecontrolesysteem voor de bescherming van persoonsgegevens van begunstigden en deelnemers aan de programma’s van Erasmus+ en het Europees Solidariteitskorps bleek de naleving van de belangrijkste bepalingen van de verordening niet doeltreffend te garanderen.

Een transversaal vraagstuk dat uit deze twee audits naar voren kwam, betreft de doorgifte van persoonsgegevens aan derde landen. Het feit dat het EU-VS-privacyschild ongeldig is verklaard (arrest-Schrems II), leidt tot concrete uitdagingen voor de diensten die persoonsgegevens doorgeven naar derde landen of die de cloud gebruiken. Als reactie op een bevel van de Europese Toezichthouder voor gegevensbescherming heeft de Commissie meer dan 600 verwerkingsdossiers geïnventariseerd die mogelijk betrekking hebben op problematische internationale doorgiften van persoonsgegevens. De cruciale aanbeveling die de dienst Interne Audit aan het directoraat-generaal Onderwijs, Jongerenzaken, Sport en Cultuur heeft verstrekt, hield verband met de doorgifte van persoonsgegevens naar derde landen. Nadat het directoraat-generaal maatregelen getroffen had, verrichte de dienst Interne Audit, na de afsluitdatum van dit jaarverslag, een beoordeling van enkele door de gecontroleerde uitgevoerde maatregelen. De dienst Interne Audit stelde vast dat het directoraat-generaal Onderwijs, Jongerenzaken, Sport en Cultuur de risico’s voor een deel heeft weggenomen en heeft, als gevolg hiervan, het risiconiveau voor twee aanbevelingen neerwaarts bijgesteld (van “cruciaal” naar “zeer belangrijk” en van “zeer belangrijk” naar “belangrijk”).

Tot slot werd, in een andere audit in verband met het beheer van deskundigen in Horizon 2020-subsidies, één kwestie aangetroffen betreffende de verwerking van de persoonsgegevens van deskundigen, die aanleiding gaf tot een zeer belangrijke aanbeveling.

4.1.3.Strategieën voor het toezicht op de uitvoering van programma’s door derden

De ordonnateurs moeten adequate en doeltreffende strategieën en activiteiten opzetten voor het toezicht op en de monitoring van de doeltreffende uitvoering van de programma’s door de gedelegeerde entiteiten en de bescherming van de EU-begroting, en voor het tijdig aanpakken van aangewezen mogelijke problemen. De afgelopen jaren heeft de dienst Interne Audit verscheidene audits uitgevoerd gericht op de regelingen die directoraten-generaal en diensten hebben getroffen om toezicht te houden op de uitvoering van programma’s (en/of beleid) door derden. De dienst heeft vaak tekortkomingen vastgesteld in de doeltreffendheid van de strategieën voor toezicht. In zijn algemeen oordeel over het financieel beheer heeft de dienst Interne Audit een toelichtende paragraaf opgesteld voor zes opeenvolgende jaren (2015-2020) over de strategieën voor het toezicht op derden die beleid uitvoeren. In 2020 waren drie audits gericht op de EU-bijdragen die via indirect beheer waren uitgevoerd.

De audit van verschillende entiteiten betreffende pijleranalyses bracht significante tekortkomingen aan het licht in het internecontrolesysteem voor het delegeren van financiële middelen onder indirect beheer, op organisatieniveau en op lokaal niveau in een aantal directoraten-generaal van de diensten voor extern optreden. Hoewel de Commissie serieuze inspanningen heeft geleverd om een doeltreffend systeem voor pijleranalyses in te stellen en blijft investeren in de verdere ontwikkeling van een organisatorische aanpak om een coherente uitvoering te bevorderen en de hoge inherente risico’s te beperken, blijft het nodig om het systeem aanzienlijk te versterken. Dit is nodig om de EU-begroting een beschermingsniveau te bieden dat equivalent is aan het niveau dat geboden wordt wanneer de begroting via direct beheer wordt uitgevoerd. De geconstateerde significante tekortkomingen betreffen 1) overeenkomsten ondertekend met het Secretariaat van de Verenigde Naties en aanverwante entiteiten zonder voorafgaande positieve pijleranalyse en zonder dat passende toezichtsmaatregelen getroffen waren (deze vaststelling leidde ertoe dat de dienst Interne Audit cruciale aanbevelingen formuleerde ten behoeve van de gecontroleerden); 2) onjuiste informatie over de stand van zaken van pijleranalyses die de directoraten-generaal en diensten ertoe bracht overeenkomsten met entiteiten te ondertekenen zonder voorafgaande positieve pijleranalyse en zonder dat de passende toezichtsmaatregelen getroffen waren; 3) ontoereikend toezicht vanwege de organisatie; 4) ontoereikende monitoring van ingrijpende systeemveranderingen van op basis van pijleranalyses beoordeelde entiteiten; en 5) ontoereikende betrokkenheid van de directoraten-generaal en diensten bij de door derden verrichte pijleranalyses. Op grond van deze vaststellingen heeft de dienst Interne Audit in totaal 4 cruciale en 15 zeer belangrijke aanbevelingen gedaan aan de vijf betrokken directoraten-generaal. Nadere informatie over deze aanbevelingen is opgenomen in de bijlage bij dit verslag.

Tegelijkertijd lieten de twee andere audits van 1) indirect beheer met belaste entiteiten in het directoraat-generaal Internationale Partnerschappen en het directoraat-generaal Nabuurschapsbeleid en Uitbreidingsonderhandelingen en 2) het toezicht op de uitvoering van het programma voor de European Geostationary Navigation Overlay Service (Egnos) voor de periode 2014-2020 in het directoraat-generaal Defensie-industrie en Ruimtevaart over het algemeen genomen een positief beeld zien van de gecontroleerde processen. Tijdens deze controles werden geen cruciale of zeer belangrijke kwesties gesignaleerd.

4.1.4.Controlestrategieën voor bepaalde directoraten-generaal en diensten

De directoraten-generaal en diensten moeten toezien op de wettigheid, de regelmatigheid en een goed financieel beheer van uit de EU-begroting gefinancierde programma’s en projecten. De ordonnateurs van de delegaties ontwerpen een controlestrategie. Deze strategie omvat controles vooraf en achteraf die het fundament vormen voor de jaarlijkse betrouwbaarheidsverklaring. In 2020 verrichte de dienst Interne Audit verschillende audits op dit gebied. Het betrof onder meer:

1) een audit betreffende het ontwerp en de uitvoering van de controlestrategie in het Uitvoerend Agentschap voor consumenten, gezondheid, landbouw en voeding; 2) een audit betreffende de doeltreffendheid van het ontwerp en de uitvoering van de ex-post-controlestrategie voor de Connecting Europe Facility in het Uitvoerend Agentschap innovatie en netwerken; 3) een audit van de ex-post-auditstrategie betreffende Horizon 2020 in het directoraat-generaal Onderzoek en Innovatie; en 4) een audit betreffende controles achteraf in het Uitvoerend Agentschap onderwijs, audiovisuele media en cultuur. De audits van 2020 laten over het algemeen een positief beeld zien, hoewel twee van de vier audits de volgende tekortkomingen vertoonden.

Het Common Implementation Centre maakt bestuurlijk gezien deel uit van het directoraat-generaal Onderzoek en Innovatie en verleent auditdiensten voor de verschillende organen die Horizon 2020 uitvoeren. Dit gebeurt aan de hand van financiële audits (achteraf), die worden uitgevoerd door zijn eigen controleurs of door externe auditkantoren, om de subsidiabiliteit van door begunstigden aangegeven kosten te verifiëren. De dienst Interne Audit heeft een tekortkoming ontdekt in het ontwerp van de ex-post-auditstrategie voor Horizon 2020 en twee zeer belangrijke aanbevelingen gedaan.

Hoewel de ex-post-controlestrategie in het Uitvoerend Agentschap innovatie en netwerken in het algemeen adequaat ontworpen en doeltreffend uitgevoerd bleek te zijn, betrof één tekortkoming de beoordeling van wijzigingen van overheidsopdrachten tijdens audits achteraf en de documentatie van de werkzaamheden die door de controleurs ter plaatse waren verricht.