COMUNICAÇÃO DA COMISSÃO

«Orientações relativas aos relatórios de auditoria anuais a apresentar em conformidade com o artigo 15.o, n.o 8, da Diretiva 2014/40/UE no contexto do sistema de rastreabilidade da UE para os produtos do tabaco»

(Texto relevante para efeitos do EEE)

(2020/C 167/01)

EXONERAÇÃO DE RESPONSABILIDADE: O objetivo do presente documento é proporcionar orientações a um auditor aprovado sobre o âmbito da auditoria e o procedimento de apresentação do relatório de auditoria anual. O documento não é juridicamente vinculativo, mas proporciona orientações gerais com recomendações e apresenta boas práticas. As presentes orientações são aplicáveis sem prejuízo de quaisquer regras nacionais.

1. Introdução

O artigo 15.o da Diretiva 2014/40/UE do Parlamento Europeu e do Conselho (1) prevê a criação de um sistema de rastreabilidade a nível da UE para lidar com o problema do comércio ilícito de produtos do tabaco. O sistema entrou em funcionamento em 20 de maio de 2019.

Como parte desse sistema, o artigo 15.o, n.o 8, da Diretiva 2014/40/UE exige que os Estados-Membros assegurem que os fabricantes e importadores de produtos do tabaco celebrem contratos de conservação de dados com um terceiro independente («fornecedor terceiro»), com vista a criar uma instalação de conservação de dados para albergar dados sobre os produtos do tabaco de fabricantes e importadores individuais («repositório primário»).

Para salvaguardar o funcionamento independente do sistema de rastreabilidade, o artigo 15.o, n.o 8, da Diretiva 2014/40/UE prevê que um auditor externo deve monitorizar as atividades do repositório primário e do seu fornecedor terceiro. O auditor deve ser proposto e pago pelo fabricante de tabaco e aprovado pela Comissão. O auditor externo deve apresentar a sua avaliação através de um relatório anual às autoridades nacionais competentes e à Comissão, avaliando em especial todas as irregularidades em matéria de acesso.

O presente documento destina-se a proporcionar orientações a um auditor aprovado sobre o âmbito da auditoria e o procedimento de apresentação do relatório de auditoria anual. Deve ser lido em conjunto com o Regulamento de Execução (UE) 2018/574 da Comissão (2), que estabelece os requisitos técnicos para o estabelecimento e o funcionamento do sistema de rastreabilidade, incluindo para os repositórios primários, e com o Regulamento Delegado (UE) 2018/573 da Comissão (3), que define os elementos essenciais dos contratos de conservação de dados a celebrar no âmbito de um sistema de rastreabilidade.

O presente documento serve como um instrumento de apoio aos auditores aprovados; as orientações não são vinculativas e não criam novas obrigações jurídicas. Sempre que as presentes orientações interpretem disposições legislativas, a posição da Comissão não prejudica qualquer interpretação da diretiva que o Tribunal de Justiça da União Europeia possa vir a fazer.

2. Contexto geral das auditorias

Cada repositório primário contratado por um fabricante está sujeito a um processo de auditoria anual. Se o mesmo fornecedor terceiro operar dois ou mais repositórios primários, deve ser efetuada uma auditoria separada e deve ser apresentado um relatório de auditoria separado para cada repositório.

Deve ser realizada uma auditoria em relação a um repositório primário e aos seus serviços conexos, incluindo uma avaliação sobre se o respetivo fornecedor terceiro e, se aplicável, os seus subcontratantes cumprem os requisitos legislativos pertinentes estabelecidos na Diretiva 2014/40/UE, no Regulamento de Execução (UE) 2018/574 e no Regulamento Delegado (UE) 2018/573.

Cada fabricante ou importador deve notificar à Comissão o auditor que propõe para auditar o seu repositório primário e o respetivo fornecedor terceiro. Todos os auditores propostos estão sujeitos à aprovação da Comissão.

3. Âmbito das auditorias

Âmbito e objetivo

Devem apresentar-se relatórios de auditoria para informar as autoridades nacionais competentes e a Comissão sobre as conclusões dos auditores, em especial no que se refere a irregularidades no acesso aos dados conservados pelos repositórios primários.

Os relatórios de auditoria devem dedicar capítulos separados a cada um dos seis domínios abaixo indicados. Cada capítulo deve abordar os pontos de verificação do respetivo domínio, tal como enumerados na lista de controlo constante do anexo.

As auditorias devem ser realizadas em conformidade com a referida lista de controlo, que estabelece os domínios e os pontos de verificação exigidos ao abrigo da norma ISO/IEC 27001:2013 relativa aos sistemas de gestão da segurança da informação (4). Para o efeito, os auditores devem ter em conta que o artigo 10.o do Regulamento Delegado (UE) 2018/573 da Comissão faz referência à norma ISO/IEC 27001:2013 como a norma preferida em matéria de gestão da segurança da informação no contexto da operação dos repositórios primários.

Domínio Objetivos Segurança organizacional e física Estabelecer um quadro de gestão da segurança da informação dentro da organização. Assegurar que os trabalhadores e os contratantes compreendem as suas responsabilidades e estão aptos a assumir as funções para que são considerados. Impedir qualquer acesso físico não autorizado, dano ou interferência na organização, incluindo a informação e as instalações de tratamento da informação. Impedir qualquer perda, dano, furto ou comprometimento de ativos e qualquer interrupção das operações da organização. Segurança das operações Assegurar o funcionamento correto e seguro das instalações de tratamento da informação. Proteger contra a perda de dados. Registar ocorrências e obter provas. Garantir a integridade dos sistemas operacionais. Impedir a exploração de vulnerabilidades técnicas. Controlo do acesso (utilizadores e aplicações) Limitar o acesso às informações e às instalações de tratamento da informação. Garantir o acesso dos utilizadores autorizados e impedir o acesso não autorizado aos sistemas e aos serviços. Responsabilizar os utilizadores pela salvaguarda da sua informação de autenticação. Impedir o acesso não autorizado a sistemas e aplicações. Garantir que a segurança da informação é concebida e implementada durante o ciclo de desenvolvimento dos sistemas de informação. Segurança das comunicações Assegurar uma utilização adequada e eficaz da criptografia para proteger a confidencialidade, a autenticidade e/ou a integridade da informação. Assegurar a proteção da informação nas redes e nas respetivas instalações de tratamento da informação. Manter a segurança da informação transferida dentro da organização e dentro de entidades externas. Continuidade operacional Assegurar uma abordagem coerente e eficaz da gestão dos incidentes em matéria de segurança da informação, incluindo a comunicação de ocorrências e deficiências respeitantes à segurança. A continuidade da segurança da informação deve estar integrada nos sistemas de gestão da continuidade operacional da organização. Assegurar a disponibilidade das instalações de tratamento da informação. Impedir violações das obrigações legais, estatutárias, regulamentares ou contratuais relativas à segurança da informação e a todos os requisitos de segurança. Ativos e integridade dos dados Identificar os ativos organizacionais e definir as responsabilidades de proteção adequadas. Garantir que a informação beneficia de um nível de proteção adequado. Impedir a divulgação, alteração, remoção ou destruição não autorizadas da informação conservada em suportes.

Conclusões e recomendações

Devem ser apresentadas as conclusões da auditoria relativamente a cada ponto de verificação indicado na lista de controlo.

Um relatório de auditoria só deve destacar e redigir constatações relacionadas com questões de não conformidade ou com outros riscos identificados. As constatações devem também ser acompanhadas de recomendações adequadas que definam as ações necessárias para resolver os problemas e deficiências identificados durante a auditoria.

4. Aspetos procedimentais

Frequência

Os auditores devem apresentar os seus relatórios de auditoria anualmente. Uma vez que o sistema de rastreabilidade entrou em funcionamento em 20 de maio de 2019, os auditores são convidados a apresentar os seus primeiros relatórios de auditoria anuais, abrangendo o primeiro ano de funcionamento do sistema de rastreabilidade (ou seja, de 20 de maio de 2019 a 19 de maio de 2020) até 30 de novembro de 2020. Posteriormente, os auditores são convidados a apresentar relatórios anuais para os anos operacionais seguintes até ao final de outubro de cada ano civil.

Seguimento da auditoria

Se for realizado um seguimento para avaliar se o fornecedor terceiro em causa aplicou adequadamente as recomendações do relatório de auditoria anual, o auditor é convidado, sempre que possível, a apresentar os resultados à Comissão e às autoridades nacionais competentes no prazo de três meses a contar da apresentação do relatório de auditoria anual.

5. Aspetos procedimentais dos relatórios de auditoria

Informações sobre os auditores

O(s) nome(s) do(s) auditor(es) e, se for caso disso, das empresas de auditoria associadas deve(m) ser indicado(s) na introdução do relatório de auditoria.

Formato

O relatório de auditoria deve ser apresentado em formato eletrónico (PDF não protegido, com texto pesquisável).

Se for possível, os auditores são convidados a apresentar os relatórios anuais à Comissão em inglês.

Procedimento de apresentação

O relatório de auditoria anual e qualquer seguimento resultante desse relatório devem ser enviados por correio eletrónico para SANTE-TT-SW@ec.europa.eu, indicando como assunto: «Audit report [Follow-up to the audit report] for [ano] — [nome do fabricante contratante] — [nome do fornecedor terceiro auditado]»

Transparência

A fim de promover a transparência e a responsabilização globais do sistema de rastreabilidade de produtos do tabaco, a Comissão convida os fabricantes, a título voluntário, a acordar com os respetivos auditores a apresentação à Comissão também uma versão pública do seu relatório de auditoria, sem dados pessoais e sensíveis do ponto de vista comercial.

As versões públicas dos relatórios de auditoria são publicadas no sítio Web da Comissão.

(1) Diretiva 2014/40/UE do Parlamento Europeu e do Conselho, de 3 de abril de 2014, relativa à aproximação das disposições legislativas, regulamentares e administrativas dos Estados-Membros no que respeita ao fabrico, apresentação e venda de produtos do tabaco e produtos afins e que revoga a Diretiva 2001/37/CE (JO L 127 de 29.4.2014, p. 1).

(2) Regulamento de Execução (UE) 2018/574 da Comissão, de 15 de dezembro de 2017, relativo às normas técnicas para o estabelecimento e o funcionamento de um sistema de rastreabilidade dos produtos do tabaco (JO L 96 de 16.4.2018, p. 7).

(3) Regulamento Delegado (UE) 2018/573 da Comissão, de 15 de dezembro de 2017, sobre os elementos essenciais dos contratos de conservação de dados a celebrar no âmbito de um sistema de rastreabilidade dos produtos do tabaco (JO L 96 de 16.4.2018, p. 1).

(4) ISO/IEC 27001:2013. Tecnologias de informação — Técnicas de Segurança — Sistemas de gestão da segurança da informação — Requisitos. Os requisitos estabelecidos na norma ISO/IEC 27001:2013 são genéricos e destinam-se a ser aplicáveis a todas as organizações, independentemente do tipo, da dimensão ou da natureza das mesmas.