EUROPESE COMMISSIE Brussel, 15.9.2017 COM(2017) 497 final VERSLAG VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD Jaarverslag aan de kwijtingsautoriteit over de in 2016 uitgevoerde interne controles (artikel 99, lid 5, van het Financieel Reglement) {SWD(2017) 306 final}



2.De opdracht van de IAS: onafhankelijkheid, objectiviteit en verantwoording. Doelstellingen en reikwijdte van het verslag De dienst interne audit heeft tot taak de Commissie onafhankelijke, objectieve zekerheid te verschaffen en adviesdiensten te verlenen met de bedoeling waarde toe te voegen aan en verbetering te brengen in de activiteiten van de Commissie. De IAS helpt de Commissie haar doelstellingen te verwezenlijken door met behulp van een systematische, gedisciplineerde aanpak de effectiviteit van risicomanagement-, controle- en governanceprocessen te evalueren en aanbevelingen ter verbetering daarvan te doen. Tot zijn taken behoren onder meer het evalueren van het governanceproces en het doen van passende aanbevelingen met het oog op een betere realisatie, via dit proces, van de volgende doelstellingen: het bevorderen van een passende ethiek en passende waarden binnen de organisatie, het waarborgen van een doelmatig prestatiemanagement en een doelmatige verantwoordingsplicht binnen de organisatie, en het effectief meedelen van risico- en controle-informatie aan de juiste gebieden binnen de organisatie. Daarmee bevordert de IAS een cultuur van efficiënt en doeltreffend management binnen de Commissie en haar diensten. De onafhankelijkheid van de IAS is verankerd in het Financieel Reglement en in zijn door de Commissie goedgekeurde taakomschrijving. De IAS brengt over alle verrichte audits verslag uit aan het Comité follow-up audit (CFA). Het CFA staat het college van commissarissen bij door ervoor te zorgen dat de diensten van de Commissie naar behoren rekening houden met de werkzaamheden van de IAS en de Europese Rekenkamer (ERK) en dat deze werkzaamheden een passend vervolg krijgen. De IAS verricht zijn werkzaamheden overeenkomstig het Financieel Reglement, de internationale normen voor professionele interne audit (International Standards for the Professional Practice of Internal Auditing) en de gedragscode van het Institute of Internal Auditors. Controlesystemen die door de lidstaten worden gebruikt om de besteding van middelen van de Commissie na te gaan, worden niet door de IAS gecontroleerd. Dergelijke audits, die tot op het niveau van individuele begunstigden gaan, worden uitgevoerd door de interne controleurs van de lidstaten, de nationale controleautoriteiten, andere afzonderlijke DG's van de Commissie of de Europese Rekenkamer. De IAS controleert echter wel de maatregelen die de diensten van de Commissie nemen om toezicht te houden en controle uit te oefenen op instanties in de lidstaten en op andere organisaties die verantwoordelijk zijn voor het uitbetalen van EU-gelden, zoals de Verenigde Naties. Zoals in het Financieel Reglement is bepaald, kan de IAS deze taken ter plaatse, ook in de lidstaten, uitvoeren. 3.Overzicht van uitgevoerde audits 3.1.Uitvoering van het auditplan 2016 Op de afsluitdatum (31 januari 2017) waren 100 % van de in het geactualiseerde auditplan 2016 geplande auditopdrachten binnen de DG’s van de Commissie, haar diensten en uitvoerende agentschappen uitgevoerd . 154 opdrachten (waaronder audits, follow-up-acties, controles en 1 adviesopdracht) werden voltooid, als volgt uitgesplitst: 2016 2015 2014 Opdrachten Verslagen Opdrachten Verslagen Opdrachten Verslagen Controle 52 60 38 52 25 31 Follow-up 95 - 96 - 53 - (Beperkte) controle 6 6 2 2 5 5 Managementletter 0 1 1 1 1 1 IT-risicobeoordeling 0 0 0 0 1 1 GSVZ-risicobeoordeling 0 0 1 1 0 0 Advies 1 1 1 1 0 0 Totaal 154 68 139 57 85 38 Het oorspronkelijke plan van 2016 bevatte 67 auditopdrachten en beperkte controles die volgens de planning uiterlijk op de afsluitdatum (31 januari 2017) moesten zijn afgerond, en 34 controles die volgens de planning vóór deze afsluitdatum van start moesten gaan en in 2017 moesten worden afgerond. Het plan werd halverwege het jaar bijgewerkt. Zowel het oorspronkelijke als het geactualiseerde plan werden door het Comité follow-up audit bekeken. In overeenstemming met zijn taakomschrijving en de internationale normen en met het oog op een efficiënte en doeltreffende uitvoering van het auditplan, plant de IAS zijn auditwerkzaamheden op basis van een risicobeoordeling en een capaciteitsanalyse. De uitvoering wordt vervolgens regelmatig getoetst en indien nodig aangepast. 3.2.Statistische gegevens over IAS-aanbevelingen Dit is het aantal in 2016 door de IAS gedane aanbevelingen (met vermelding van het aanvaardingspercentage): Nieuwe aanbevelingen Aanvaarde aanbevelingen Niet-aanvaarde aanbevelingen Prioriteit % % Cruciaal 0 0 100 % 0 n.v.t. Zeer belangrijk 119 119 100 % 0 0 % Belangrijk 138 138 100 % 0 n.v.t. Wenselijk 1 1 100 % 0 n.v.t. Totaal 258 258 100 % 0 n.v.t. Voor alle aanvaarde aanbevelingen hebben de gecontroleerden actieplannen opgesteld, die aan de IAS zijn voorgelegd en door de dienst als bevredigend werden beoordeeld. In de onderstaande tabel wordt een overzicht gegeven van de uitvoering per 31 januari 2017, zoals ingeschat door de gecontroleerden , van de aanvaarde aanbevelingen die in de periode 2012-2016 zijn gedaan. Aanbevelingen waaraan na de afsluitdatum van 31 januari 2017 gevolg is gegeven, worden niet in aanmerking genomen. Uitgevoerd In uitvoering (volgens aantal maanden vertraging) Jaar Prioriteit Totaal # % # % Geen vertraging 0 - 6 6 - 12 12+ 2012 Cruciaal 0 0 0 % 0 0 % 0 0 0 0 Zeer belangrijk 68 68 100 % 0 0 % 0 0 0 0 Belangrijk 123 118 96 % 5 4 % 0 1 0 4 Wenselijk 0 0 0 % 0 0 % 0 0 0 0 Totaal 2012 191 186 97 % 5 3 % 0 1 0 4 2013 Cruciaal 0 0 0 % 0 0 % 0 0 0 0 Zeer belangrijk 45 42 93 % 3 7 % 1 1 0 1 Belangrijk 75 64 85 % 11 15 % 1 0 1 9 Wenselijk 7 7 100 % 0 0 % 0 0 0 0 Totaal 2013 127 113 89 % 14 11 % 2 1 1 10 2014 Cruciaal 0 0 0 % 0 0 % 0 0 0 0 Zeer belangrijk 40 38 95 % 2 5 % 0 0 0 2 Belangrijk 78 65 83 % 13 17 % 1 2 1 9 Wenselijk 7 7 100 % 0 0 % 0 0 0 0 Totaal 2014 125 110 88 % 15 12 % 1 2 1 11 Overgenomen IAF-aanbevelingen Cruciaal 0 0 0 % 0 0 % 0 0 0 0 Zeer belangrijk 252 239 95 % 13 5 % 0 1 3 9 Belangrijk 593 551 93 % 42 7 % 1 1 1 39 Wenselijk 63 63 100 % 0 0 % 0 0 0 0 Totaal IAF's 908 853 94 % 55 6 % 1 2 4 48 2015 Cruciaal 1 1 100 % 0 0 % 0 0 0 0 Zeer belangrijk 69 32 46 % 37 54 % 15 19 2 1 Belangrijk 129 78 60 % 51 40 % 20 17 12 2 Wenselijk 18 17 94 % 1 6 % 1 0 0 0 Totaal 2015 217 128 59 % 89 41 % 36 36 14 3 2016 Cruciaal 0 0 0 % 0 0 % 0 0 0 0 Zeer belangrijk 118 3 3 % 115 97 % 108 7 0 0 Belangrijk 138 19 14 % 119 86 % 109 9 1 0 Wenselijk 1 0 0 % 1 100 % 1 0 0 0 Totaal 2016 257 22 9 % 235 91 % 218 16 1 0 TOTAAL 2012-2016 1825 1412 77 % 413 23 % 258 58 21 76 Waarvan cruciaal of zeer belangrijk 593 423 71 % 170 29 % 124 28 5 13

Algemeen genomen worden 1 412 of 77 % van het totale aantal aanvaarde aanbevelingen die in de periode 2012-2016 zijn gedaan, door de gecontroleerden als uitgevoerd beschouwd, wat betekent dat de uitvoering van in totaal 413 aanbevelingen (of 23 %) nog niet is afgerond. Van deze 413 aanbevelingen waaraan nog wordt gewerkt, is er geen cruciaal en zijn er 170 (of 29 % van het totale aantal aanvaarde cruciale en zeer belangrijke aanbevelingen) als zeer belangrijk aangemerkt. De uitvoering heeft vertraging opgelopen bij 155 van de 413 aanbevelingen waaraan nog wordt gewerkt, wat neerkomt op 8,5 % van het totale aantal aanvaarde aanbevelingen. Van die 155 zijn 18 zeer belangrijke aanbevelingen al geruime tijd zonder gevolg gebleven (meer dan zes maanden ten opzichte van de oorspronkelijke uiterste datum). Alles samen vertegenwoordigen deze aanbevelingen slechts 0,99 % van het totale aantal aanvaarde aanbevelingen in de periode 2012-2016. In totaal is voor 1 314 van de in de periode 2012-2016 gedane aanbevelingen een follow-up-audit uitgevoerd, terwijl 1 412 aanbevelingen door de gecontroleerden als "klaar voor controle" werden aangemerkt. Van het totale aantal tijdens die periode geverifieerde aanbevelingen zijn er 1 246 (95 %) door de IAS afgesloten. Dit betekent dat volgens de IAS gemiddeld 5 % van de aanbevelingen nog niet als effectief ten uitvoer gelegd kon worden beschouwd en dus niet kon worden afgesloten na afronding van de follow-up-audit. Al bij al vindt de IAS de stand van zaken met betrekking tot de uitvoering van de auditaanbevelingen bevredigend en vergelijkbaar met eerdere verslagperioden. Dit wijst erop dat de diensten van de Commissie zich inspannen om de zeer belangrijke aanbevelingen uit te voeren, waardoor de gesignaleerde risico’s worden verkleind. Niettemin – en hoewel er geen sprake is van een terugkerend hangpunt of een specifieke dienst in kwestie – moet er aandacht worden besteed aan de individuele aanbevelingen die als zeer belangrijk zijn aangemerkt en die al geruime tijd (meer dan zes maanden) zonder gevolg zijn. Een speciaal verslag is opgesteld en toegezonden aan het Comité follow-up audit, waarvan een samenvatting is opgenomen in het werkdocument van de diensten van de Commissie dat bij dit verslag is gevoegd. 4.Samenvatting van de uitgevoerde audits 4.1.Conclusies betreffende doelmatigheidsaudits In reactie op de verschuiving binnen de Commissie naar een prestatiegerichte cultuur en een grotere nadruk op kosteneffectiviteit is de IAS in 2016 doelmatigheidsaudits en audits met belangrijke doelmatigheidselementen (uitgebreide audits) blijven uitvoeren als onderdeel van zijn strategisch auditplan 2016-2018. Overeenkomstig de door de dienst gehanteerde methodologie en beste praktijken heeft de IAS de prestaties op een indirecte wijze beoordeeld, namelijk door na te gaan of en hoe het management controlesystemen heeft opgezet om de prestaties (doelmatigheid en doeltreffendheid) van haar activiteiten te beoordelen en zeker te stellen. Met deze benadering wil de IAS in de eerste plaats garanderen dat DG's en diensten over adequate prestatiekaders en instrumenten voor prestatiemeting, kernindicatoren en monitoringsystemen beschikken. Deze benadering komt ten dele voort uit het feit dat in een groot aantal rechtsgrondslagen doelstellingen worden geformuleerd met een bredere reikwijdte dan de Commissie alleen aankan. Dit betekent dat eerst op het niveau van de Commissie SMART-doelstellingen en benchmarks moeten worden vastgesteld, om in de mate van het mogelijke onderscheid te maken tussen de specifieke inbreng van de Commissie en de inbreng van andere belangrijke actoren die bijdragen aan de uitvoering en verwezenlijking van de doelstellingen van de EU-fondsen (lidstaten, regio’s, derde landen, internationale organisaties enz.). In de volgende rubrieken worden de conclusies van de IAS uiteengezet over diverse prestatiegerelateerde aspecten van zijn in 2016 uitgevoerde audits. 4.1.1.Doelmatigheid van DG's, diensten en uitvoerende agentschappen van de Commissie: horizontale processen 4.1.1.1. Prestatiebeheer DG's en diensten worden met een toenemende druk op financiële en personele middelen geconfronteerd en moeten tegelijkertijd kunnen aantonen dat zij hun doelstellingen realiseren en hun financiële middelen optimaal besteden. In een sterk prestatiegerichte politieke context is het van essentieel belang dat de DG’s op een gedegen manier de specifieke doelstellingen waarvoor zij verantwoordelijk zijn en die zij met hun outputs en acties kunnen verwezenlijken, definiëren, beheren, monitoren en hierover verslag uitbrengen. Verscheidene audits van de IAS waren gericht op prestatiebeheer en -meting en brachten aan het licht dat er nog aanzienlijke verbeteringen nodig zijn om de mechanismen voor prestatiebeheer en -meting van de DG’s tot verdere wasdom te brengen. Dit bevestigt de conclusie van vorig jaar waarin werd beklemtoond dat verdere stappen moeten worden gezet op zowel het niveau van de instelling als het niveau van de DG’s om de kwaliteit van de doelstellingen en indicatoren te verbeteren. In 2016 heeft de Europese Rekenkamer in haar jaarverslag en in haar speciale verslagen ook gewezen op tekortkomingen inzake prestatiebeheer en -meting. De IAS doet sinds jaar en dag aanbevelingen op dit gebied. Er is aanzienlijke vooruitgang geboekt in de loop der jaren, bijvoorbeeld met een aantal nieuwe initiatieven op het niveau van de instelling, maar de IAS stoot nog steeds op significante tekortkomingen en grote risico’s. Hieruit blijkt dat er ondanks de gedane inspanningen tijd nodig is om de omslag te maken naar een effectieve prestatiegerichte cultuur en mentaliteit en naar een doeltreffend en doelmatig prestatiebeheer in de hele organisatie. Het “gemeenschappelijke kader voor toezicht en evaluatie” is een van de basiselementen waarmee DG AGRI de prestaties van het gemeenschappelijk landbouwbeleid meet. Er zijn ernstige tekortkomingen opgemerkt bij de vaststelling van doelstellingen, in de gebruikte reeks indicatoren en bij de gegevensverzameling. Hierdoor zou DG AGRI de prestaties van het gemeenschappelijk landbouwbeleid 2014-2020 mogelijk minder goed kunnen monitoren en evalueren en er minder goed over kunnen rapporteren. Bij DG GROW zijn verschillende prestatiebeheersinstrumenten ingevoerd om de voornaamste actieterreinen te monitoren en de operationele prestaties aan te sturen. Het prestatiekader moet evenwel verder worden verbeterd zodat het weergeeft hoe de maatregelen die het DG op korte termijn neemt, daadwerkelijk bijdragen aan de verwezenlijking van de strategische doelstellingen en dus ook aan de prioriteiten van de Commissie. Zo ontbreekt met name de omschrijving van de overkoepelende strategische visie en zijn er niet steeds voldoende gegevens beschikbaar of worden deze niet altijd op een samenhangende manier gepresenteerd in verschillende strategische plannings- en programmeringsdocumenten. Bij DG MOVE zijn in het prestatiebeheerskader vergelijkbare tekortkomingen geconstateerd. Het ontbreekt het DG aan een overkoepelende strategische visie waarin wordt beschreven hoe het DG interventies organiseert en hoe kortetermijnoutputs tot resultaten en effecten op middellange en lange termijn zullen leiden en aan de verwezenlijking van haar strategische doelstellingen zullen bijdragen. Bovendien is er geen gecentraliseerde benadering voor de monitoring en rapportage van de beleidsresultaten op de langere termijn en zijn de specifieke doelstellingen van DG MOVE onvoldoende specifiek en relevant. Er was geen formele procedure ter voorbereiding van de CEF-programmaverklaringen en er waren evenmin interne richtsnoeren ter bepaling van de uit te voeren taken, de verantwoordelijkheden en de rol van elke eenheid, het tijdschema en de workflow, de definitie van de indicatoren met informatie dienaangaande, de methode voor de berekening van de indicatoren en de verantwoordelijke eenheid. DG DEVCO heeft een aantal prestatiebeheersinstrumenten ontwikkeld waarmee de operationele prestaties in zowel de hoofdzetel als de delegaties van de EU kunnen worden aangestuurd. Toch moet het prestatiebeheerssysteem van DG DEVCO voor de planning, monitoring en rapportering van de verwezenlijking van de doelstellingen aanzienlijk worden verbeterd om de doelmatigheid ervan te vergroten. De geboekte vooruitgang ten opzichte van de doelstellingen en streefcijfers in het beheersplan wordt niet stelselmatig gemonitord en het merendeel van de EU-delegaties in de steekproef houdt geen toezicht op de verwezenlijking van de doelstellingen in hun beheersplannen. Bovendien zijn er geen centrale richtsnoeren om de in de actiedocumenten vastgestelde doelstellingen te monitoren en worden de resultaten van de projecten die tot eenzelfde actiedocument behoren, niet samengevoegd om een beeld te scheppen van de verwezenlijking van de algemene doelstellingen. De informatie over de prestaties van DG DEVCO in de verschillende verslagen inzake strategische planning en programmering is veeleer beperkt en op basis hiervan wordt niet feitelijk nagegaan of de doelstellingen al dan niet zijn verwezenlijkt. Op programmaniveau is er geen jaarlijkse verslaglegging over de vooruitgang die is geboekt in de richting van de doelstellingen van de programmeringsdocumenten, waarin de op projectniveau gemeten resultaten worden samengevoegd. De interne controleur erkent de inspanningen die het DG levert om de prestatiebeheersinstrumenten aan te vullen met resultaatgerichte verslagleggingsinitiatieven. Een audit van DG EAC leverde een positieve conclusie op en liet zien dat het mogelijk is om uitvoering te geven aan een doeltreffend prestatiebeheerskader, ondanks het feit dat het DG met een verscheidenheid aan beleidsactiviteiten en uitgavenprogramma’s werkt. 4.1.1.2. Risicobeheer Risicobeheer stopt nooit. Doorgaans voert het management jaarlijks een risicobeoordeling uit in het kader van de strategische plannings- en programmeringsactiviteiten. Uit een audit van het risicobeheer bij DG NEAR is gebleken dat deze procedure ernstige ontwerp- en uitvoeringsfouten bevat die gevolgen hebben voor de algehele doeltreffendheid. Om deze tekortkomingen te verhelpen, heeft DG NEAR een actieplan op poten gezet.

4.1.1.3. Personeelsbeheer Op het vlak van personeelsbeheer is de IAS voor verschillende DG’s en uitvoerende agentschappen nagegaan of zij doeltreffende HR-strategieën hebben uitgetekend en toegepast om het hoofd te bieden aan uitdagingen die voortvloeien uit nieuwe prioriteiten, wijzigingen in personeelsbezetting en reorganisaties. Globaal genomen is uit de audits gebleken dat de DG’s en uitvoerende agentschappen passende maatregelen hebben getroffen om met hun HR-uitdagingen om te gaan. Niettemin is er ruimte voor verbetering bij DG ENV, dat momenteel niet in staat is om de werkbelasting effectief te monitoren en te vergelijken binnen het DG. Uit de audit van het REA is gebleken dat de selectieprocedure voor arbeidscontractanten aanzienlijke gebreken vertoont, met name als het gaat om de geschiktheidscontrole, de toepassing van de selectiecriteria, de volledigheid van de dossiers en de richtsnoeren voor selectiepanelleden en waarnemers. 4.1.1.4. IT-beheer Op IT-vlak bevestigen verschillende audits dat diverse aspecten van de IT-activiteiten nog kunnen worden verbeterd. DG GROW moet aanzienlijke tekortkomingen verhelpen op het vlak van IT- en portefeuillebeheer om ervoor te zorgen dat de organisatorische transformatie een succes wordt en de activiteiten en IT-systemen volledig op elkaar worden afgestemd. Er zijn tekortkomingen vastgesteld in de IT-strategie en bij de vertaling van de doelstellingen in belangrijke prestatie-indicatoren, op het vlak van IT-risicobeheer, in de communicatie over belangrijke IT-ontwikkelingen, bij de kosten-batenanalyse voor IT en bij het portefeuille- en programmabeheer voor IT in het algemeen. Ondanks enkele bestaande goede praktijken zijn in DG JRC ernstige tekortkomingen in de IT-beveiliging vastgesteld. Hierdoor heeft de IAS de conclusie getrokken dat de bestaande controles onvoldoende garanderen dat het IT-beveiligingsrisico afdoende wordt ingeperkt. Er is onvoldoende managementtoezicht op IT-beveiliging, JRC heeft geen veiligheidsvoorschriften vastgesteld die moeten worden nageleefd bij het ontwerp van IT-systemen, niet alle IT-systemen worden op hun veiligheid beoordeeld en de inventaris van IT-systemen is onvolledig op het gebied van beveiliging. Bij DG BUDG is geconstateerd dat de doeltreffendheid van de genomen maatregelen voor manuele ingrepen in ABAC ernstig te wensen over laat. De IAS heeft vastgesteld dat in de productieomgeving vaak handmatig wordt ingegrepen en dat tegelijk een relatief groot aantal bevoorrechte gebruikers onder de interne personeelsleden en externe consultants onbeperkte toegang en rechten heeft om veranderingen aan te brengen in de productieomgeving. Ook zijn er tekortkomingen geconstateerd in het toezicht op de accounts van bevoorrechte gebruikers en in de preventieve controles, die onvoldoende worden gecompenseerd door adequate opsporingscontroles. Het Publicatiebureau is voor zijn belangrijkste bedrijfsprocessen sterk afhankelijk van IT en heeft daarom een aantal controles ingebouwd om de continuïteit van de werkzaamheden op dit gebied te waarborgen. Niettemin heeft de IAS vastgesteld dat er tekortkomingen zijn in de fysieke beveiliging van het alternatieve datacentrum, dat de doelstellingen inzake hersteltijd van cruciale bedrijfsprocessen niet worden gehaald en dat de bedrijfsimpactanalyse een onvolledig beeld en misleidende resultaten geeft. De audit van het project voor de elektronische uitwisseling van socialezekerheidsgegevens van DG EMPL heeft een aantal risico’s aan het licht gebracht met betrekking tot de doeltreffende uitvoering van een IT-project. De IAS is tot de conclusie gekomen dat de bestaande controles niet voldoende waarborgen dat een dermate gevoelig en complex project volledig beschermd is tegen de resterende hoge risico’s. Met name de verwezenlijking van de hoofdprioriteit (gebruiksklare release) vraagt om dringende en strengere controles van de projectdoelstellingen, de mijlpalen en de taakverantwoordelijkheid. Om de tekortkomingen in de startfase van het systeem te verhelpen, moet er een duidelijk overzicht van de taken en verantwoordelijkheden komen. DG EMPL was al begonnen met het opstellen van actieplannen om de geconstateerde tekortkomingen te verhelpen, maar de IAS heeft benadrukt dat dit dringend was en dat er zo snel mogelijk maatregelen moeten worden getroffen. 4.1.1.5. Andere Uit andere audits van de IAS op het vlak van de bestrijding van fraude met traditionele eigen middelen, het beheer en de uitwisseling van landbouw-, milieu- en klimaatgegevens, betere regelgeving en controles achteraf door de gemeenschappelijke auditdienst, is gebleken dat verdere stappen nodig zijn om de algemene prestaties van deze processen te verbeteren. De IAS heeft ernstige tekortkomingen vastgesteld met betrekking tot de planning, het beheer en de coördinatie van activiteiten voor de preventie en opsporing van fraude met traditionele eigen middelen, die een ondoeltreffende preventie en opsporing van fraude tot gevolg zouden kunnen hebben. Gegevensbeheer is essentieel voor goed onderbouwde beleidsvorming. Een van de belangrijkste gebieden waarop doeltreffend gegevens moeten worden uitgewisseld, is dat van de landbouw-, milieu- en klimaatthematiek, omdat dit verschillende DG’s en beleidsterreinen aanbelangt. De IAS heeft geconcludeerd dat er weliswaar een aantal regels en procedures inzake gegevensbeheer bestaan, maar dat deze tekortschieten om het beheer en de uitwisseling van landbouw-, milieu- en klimaatgegevens doeltreffend en efficiënt te laten verlopen. Dit komt door het gebrek aan een Commissiebreed kader voor het beheer en de uitwisseling van gegevens en door tekortkomingen in de manier waarop landbouw-, milieu- en klimaatgegevens momenteel tussen de DG’s worden gedeeld en beheerd. Wat betere regelgeving betreft, is de IAS tot de bevinding gekomen dat de Commissie al belangrijke stappen heeft gezet om de nieuwe agenda voor betere regelgeving in praktijk te brengen. Ondanks deze verwezenlijkingen blijven echter grote inspanningen nodig, in de eerste plaats op het niveau van de instelling, zodat de agenda voor betere regelgeving tot volle wasdom kan komen. De gemeenschappelijke auditdienst (CAS) in het gemeenschappelijk ondersteuningscentrum (GOC) moet belangrijke inspanningen leveren om zijn interne procedures ten volle te ontwikkelen zodat de dienst de doelstellingen van de strategie inzake controles achteraf van het KP7 verwerkelijkt en voorbereid is op de uitdagingen die de strategie voor controle achteraf van Horizon 2020 met zich meebrengt. De CAS moet met name de tijd inkorten die het gemiddeld kost om een audit af te sluiten, en de interne procedures voor de planning, monitoring en rapportage van controles achteraf verbeteren. De CAS moet ook SMART-doelstellingen vastleggen en een aanpak en richtsnoeren voor het opsporen van fraude ontwikkelen. Er zijn bepaalde tekortkomingen vastgesteld in het toezicht door DG MOVE op de beveiliging van lucht- en scheepvaart. Op dit gebied kunnen beveiligingsincidenten de instelling uiteindelijk ernstige reputatieschade toebrengen. De IAS is tot de conclusie gekomen dat het huidige toezichtssysteem van DG MOVE aanzienlijke tekortkomingen vertoont bij gebrek aan een geformaliseerde omvangrijke toezichtstrategie. In een dergelijke strategie zou enerzijds worden bepaald in welke mate de toezichtsmechanismen DG MOVE zekerheid moeten bieden over de naleving door de lidstaten van de EU-wetgeving inzake beveiliging van luchtvaart en zeevaart, en zou anderzijds de omvang en reikwijdte van de inspectieactiviteiten worden vastgelegd. 4.1.2.Doelmatigheid bij het beheer en de besteding van budgettaire operationele en administratieve kredieten 4.1.2.1. Direct beheer Wat de direct beheerde fondsen betreft, zijn in het kader van verschillende audits (van de DG’s HOME, JUST, RTD en het REA) de subsidiebeheersprocessen beoordeeld. Bij elk van deze controles heeft de IAS vastgesteld dat de doelmatigheid en doeltreffendheid van die processen op bepaalde punten nog kunnen worden verbeterd. Voorts is in het kader van een audit nagegaan of de Commissie doeltreffend en efficiënt gebruikmaakt van externe contractanten die intra muros werken. Er is vastgesteld dat zolang er geen instellingsbreed kader is dat als leidraad kan dienen voor de DG’s, de Commissie significante risico’s loopt dat dergelijke interne contractanten niet efficiënt en doeltreffend worden ingezet. Op het niveau van het DG kan er meer worden ondernomen om deze kwestie proactief aan te pakken, bijvoorbeeld door in de contracten waarborgen in te bouwen om de kosteneffectiviteit te verzekeren. Bovendien heeft een controle van de doeltreffendheid van het beheer van het Cosme-programma bij Easme tekortkomingen in de samenwerking tussen Easme en het verantwoordelijke DG aan het licht gebracht. Het Agentschap beschikte meestal niet over een solide basis om het aan het Cosme-programma gerelateerde deel van zijn jaarlijkse werkprogramma voor te bereiden en ook niet om het werk te plannen, omdat het verantwoordelijke DG laat bijdragen leverde en het Cosme-werkprogramma tijdens de tussentijdse evaluatie ingrijpend werd gewijzigd. Easme heeft de gevolgen hiervan voor de efficiënte uitvoering van de gedelegeerde handelingen onvoldoende onderzocht en heeft geen actueel planningsdocument opgesteld waarin rekening wordt gehouden met alle in de loop van het jaar aangebrachte wijzigingen aan de gedelegeerde handelingen.

4.1.2.2. Indirect beheer Wat de indirect beheerde middelen betreft, focusten diverse audits op de bestaande toezichtsregelingen in de DG’s en diensten en zijn er een aantal aanzienlijke tekortkomingen geconstateerd die de verwezenlijking van de beleidsdoelstellingen in gevaar kunnen brengen. Bij een audit van de coördinatie- en werkafspraken met regelgevende EU-agentschappen en -organen in DG HOME en DG SANTE werd vastgesteld met welke uitdagingen de partner-DG’s worden geconfronteerd in hun omgang met gedecentraliseerde EU-agentschappen, zoals de niet-bindende aard van de “gemeenschappelijke aanpak” (overeengekomen door het Europees Parlement, de Raad en de Commissie in juli 2012) die tot doel heeft de agentschappen samenhangender, doeltreffender en verantwoordelijker te maken. Uit de audit bleek ook dat de mate waarin partner-DG's toezicht kunnen houden, in de praktijk afhankelijk is van: 1) de beperkte “beslissingsbevoegdheid” (wat betreft het aantal stemmen) van de Commissie in de raden van bestuur van de agentschappen; 2) de middelen waarover het partner-DG beschikt om toezicht te houden op de agentschappen; 3) de bereidheid van de agentschappen om als echte partners samen te werken met het DG, aangezien dit type agentschappen autonome organen van de Unie zijn met afzonderlijke kwijtingverlening door het Europees Parlement; en 4) de behoefte van deze agentschappen om onafhankelijk te blijven ten opzichte van de Commissie, met name bij de opstelling van wetenschappelijke adviezen. Niettemin zou ieder groot probleem dat zich voordoet in de agentschappen de Commissie ernstige reputatieschade kunnen berokkenen. Wat de prestaties betreft, zijn er ernstige tekortkomingen gesignaleerd in drie belangrijke delen van de algemene strategie van de partner-DG’s ten opzichte van die agentschappen, namelijk 1) de bijdrage van het partner-DG aan de programmering van de agentschappen en het verband tussen de programmering van de agentschappen en de eigen programmeringsactiviteiten van het DG, 2) het door het partner-DG gehouden toezicht op de activiteiten van de agentschappen, en 3) de controlestrategie van het partner-DG om zekerheid op te bouwen en te rapporteren (in het JAV) over de aan zijn agentschappen “toevertrouwde” taken (bijv. door middel van “delegatieovereenkomsten” toevertrouwde “begrotingsuitvoeringstaken”). Een audit van het toezicht dat DG ENER uitoefent op het ITER-project heeft ook tekortkomingen aan het licht gebracht die ten koste gaan van het effectieve toezicht op de tenuitvoerlegging van het ITER-project. Dit komt doordat het DG en Euratom geen duidelijke afspraken hebben gemaakt over het doel van hun toezichtsactiviteiten en over de manier waarop zij de doeltreffendheid van deze activiteiten zullen nagaan. Bovendien ontvangt de Commissie niet alle gegevens die van essentieel belang zijn om effectief toezicht te houden op F4E en om te worden gebruikt in de besprekingen met de bevoegde bestuursorganen van dit agentschap. 4.1.2.3. Gedeeld beheer Op het gebied van gedeeld beheer heeft de audit van de vrijwillige gekoppelde steun bij DG AGRI bevestigd dat dit een zeer ingewikkeld terrein is en dat de wetgeving de lidstaten een brede waaier aan opties biedt, wat dan weer veel middelen van de Commissie vergt om te waarborgen dat de vrijwillige gekoppelde steun goed wordt beheerd. Er zijn ernstige tekortkomingen vastgesteld in de beheers- en controlesystemen die DG AGRI voor vrijwillige gekoppelde steun heeft ingevoerd, in het bijzonder met betrekking tot het toezicht op de doelmatigheid van de vrijwillige gekoppelde steun. Hierdoor bestaat er een risico dat de doelstellingen van de regeling niet worden gehaald en dat andere landbouwmarkten kunnen worden verstoord. Uit een audit van de doeltreffendheid van vereenvoudigingsmaatregelen die zijn getroffen in het kader van de Europese structuur- en investeringsfondsen voor 2014-2020, is gebleken dat de DG’s zich tegen bepaalde hoge risico’s zullen moeten beschermen zodat de aandacht in de eerste plaats naar het behalen van resultaten kan blijven gaan, een belangrijke verwachting van de huidige programmeringsperiode. Zo moeten de aan vereenvoudigde kostenopties verbonden risico’s worden beperkt en vallen het gebruik van vereenvoudigingsmaatregelen door de lidstaten en de impact ervan lager uit dan verwacht. 4.2.Beperkte conclusies van de IAS betreffende de stand van zaken van de interne controle van elk DG De IAS heeft beperkte conclusies opgesteld over de stand van zaken van de interne controle in elk DG en elke dienst in februari 2017. Deze conclusies dragen bij aan de jaarlijkse activiteitenverslagen van 2016 van de betrokken DG’s en diensten. Zij zijn gebaseerd op de auditwerkzaamheden van de afgelopen drie jaar en hebben betrekking op alle onafgehandelde aanbevelingen van de IAS en van de inmiddels opgeheven interne-auditfuncties (voor zover deze door de IAS zijn overgenomen). Daarnaast wordt in de conclusies in het bijzonder de aandacht gevestigd op alle onafgehandelde aanbevelingen die als "cruciaal" worden aangemerkt en op het gecombineerde effect van verschillende als "zeer belangrijk" aangemerkte onafgehandelde aanbevelingen, omdat die onafgehandelde aanbevelingen wellicht moeten leiden tot het maken van een voorbehoud in het jaarlijks activiteitenverslag van het betrokken DG/de betrokken dienst. De conclusie van de IAS betreffende de stand van zaken van de interne controle heeft enkel betrekking op de aan een audit onderworpen beheers- en controlesystemen en niet op die welke tijdens de voorbije drie jaar niet door de IAS of de IAF zijn doorgelicht. In de beperkte conclusies werd bijzondere aandacht gevestigd op de volgende kwesties (en dit heeft in het jaarlijkse activiteitenverslag van de betrokken DG’s tot punten van voorbehoud geleid): - de termijn die DG CLIMA in acht neemt voor de tenuitvoerlegging van een bepaalde, zeer belangrijke aanbeveling met betrekking tot IT-beveiliging (m.b.t. het beheer van de veiligheid van het EU-ETS-IT-systeem) waardoor het DG risico loopt op inbreuken op de beveiliging; - het gecombineerde effect van drie openstaande, zeer belangrijke aanbevelingen aan DG DEVCO, gedaan in het kader van de audit van het beheer van de vredesfaciliteit voor Afrika. 4.3.Algemeen oordeel over het financiële beheer van de Commissie Overeenkomstig zijn taakomschrijving brengt de IAS jaarlijks een algemeen oordeel uit over het financiële beheer van de Commissie. Dit oordeel is gebaseerd op de auditwerkzaamheden die zowel de IAS als de voormalige interne-auditfuncties de voorbije drie jaar (2014-2016) met betrekking tot het financieel beheer in de Commissie hebben verricht. In het oordeel wordt ook rekening gehouden met informatie uit andere bronnen, met name de verslagen van de Europese Rekenkamer. Het algemeen oordeel wordt gelijktijdig met dit verslag verstrekt en heeft betrekking op hetzelfde begrotingsjaar. Net als de vorige jaren bevat het algemeen oordeel voor 2016 een voorbehoud met betrekking tot de voorbehouden die de gedelegeerde ordonnateurs in hun betrouwbaarheidsverklaringen hebben gemaakt. Bij de totstandkoming van dit oordeel heeft de IAS het gecombineerde effect van de geraamde risicobedragen, zoals vermeld in de jaarlijkse activiteitenverslagen, in aanmerking genomen, in het licht van het corrigerend vermogen dat blijkt uit de financiële correcties en terugvorderingen uit het verleden en uit schattingen van toekomstige correcties en risicobedragen bij afsluiting. Gezien de omvang van de financiële correcties en terugvorderingen uit het verleden en ervan uitgaande dat correcties de komende jaren op een vergelijkbaar niveau zullen worden verricht, wordt de EU-begroting als geheel (maar niet noodzakelijkerwijze de afzonderlijke beleidsgebieden) en in de loop van de tijd (soms wel verscheidene jaren later) afdoende beschermd. De interne controleur maakte geen andere punten van voorbehoud, maar voegde aan zijn verklaring wel een "toelichtende paragraaf" toe met betrekking tot het volgende: - strategieën voor het toezicht op derden die beleid en programma's uitvoeren Hoewel de Commissie volledig verantwoordelijk blijft voor het verzekeren van de wettigheid en regelmatigheid van de uitgaven en een goed financieel beheer (alsook voor het verwezenlijken van de beleidsdoelstellingen), doet zij steeds meer beroep op derde partijen voor de uitvoering van haar programma’s. Dit gebeurt meestal door de uitvoering van de operationele begroting van de Commissie te delegeren (onder indirect beheer) of door bepaalde taken aan derde landen of internationale organisaties, nationale agentschappen, gemeenschappelijke ondernemingen, niet-EU-organen en gedecentraliseerde EU-agentschappen te delegeren. Bovendien wordt op sommige beleidsterreinen meer gebruikgemaakt van financiële instrumenten in het kader van het MFK 2014-2020 of van middelen van derden of niet-EU-organen (bijv. nationale instanties of particuliere investeerders). Dergelijke instrumenten en alternatieve financieringsmechanismen brengen, zoals opgemerkt door de Rekenkamer, specifieke uitdagingen en risico’s voor de Commissie met zich mee. Om aan hun algemene verantwoordelijkheden te voldoen, moeten de operationele DG’s toezicht houden op de uitvoering van het beleid en de programma’s en waar nodig steun en begeleiding bieden. Daarom moeten de DG’s passende, doeltreffende en doelmatige toezichts-, controle- en/of rapportageactiviteiten vastleggen en uitvoeren, zodat kan worden verzekerd dat de gedelegeerde entiteiten en andere partners de programma’s daadwerkelijk uitvoeren, de financiële belangen van de EU gepast beschermen, indien van toepassing de delegatieovereenkomst naleven, en dat alle potentiële problemen zo snel mogelijk worden aangepakt.