C 167/1

COMUNICARE A COMISIEI

Orientări privind rapoartele anuale de audit care trebuie prezentate în conformitate cu articolul 15 alineatul (8) din Directiva 2014/40/UE în contextul sistemului de trasabilitate al UE pentru produsele din tutun

(Text cu relevanță pentru SEE)

(2020/C 167/01)

DECLARAȚIE DE DECLINARE A RESPONSABILITĂȚII: Scopul prezentului document este de a oferi orientări unui auditor autorizat cu privire la sfera auditului și la procedura de prezentare a raportului anual de audit. Acesta nu este obligatoriu din punct de vedere juridic, ci oferă orientări generale însoțite de recomandări și reflectă cele mai bune practici. Prezentele orientări nu aduc atingere niciunei norme naționale.

1. Introducere

Articolul 15 din Directiva 2014/40/UE a Parlamentului European și a Consiliului (1) prevede instituirea unui sistem de trasabilitate pentru produsele din tutun la nivelul UE pentru a aborda problema comerțului ilicit. Acest sistem a devenit operațional la 20 mai 2019.

În cadrul acestui sistem, articolul 15 alineatul (8) din Directiva 2014/40/UE le impune statelor membre obligația de a se asigura că producătorii și importatorii de produse din tutun încheie contracte de stocare de date cu o parte terță independentă („furnizorul terț”), cu scopul de a găzdui unitatea de stocare de date pentru datele referitoare la produsele din tutun ale producătorilor și importatorilor individuali („depozitul primar de date”).

Pentru a garanta funcționarea independentă a sistemului de trasabilitate, articolul 15 alineatul (8) din Directiva 2014/40/UE prevede că activitățile depozitului primar de date și ale furnizorului său terț trebuie să fie monitorizate de un auditor extern. Auditorul trebuie să fie propus și remunerat de către producătorul de produse din tutun și autorizat de către Comisie. Auditorul extern trebuie să își prezinte evaluarea autorităților naționale competente și Comisiei prin intermediul unui raport anual, evaluând în special eventualele nereguli referitoare la acces.

Prezentul document are rolul de a oferi orientări unui auditor autorizat cu privire la sfera auditului și la procedura de prezentare a raportului anual de audit. Acesta trebuie să fie citit în coroborare cu Regulamentul de punere în aplicare (UE) 2018/574 al Comisiei (2), care stabilește cerințele tehnice pentru instituirea și operarea sistemului de trasabilitate, inclusiv pentru depozitele primare de date, și cu Regulamentul delegat (UE) 2018/573 al Comisiei (3), care definește elementele principale ale contractelor de stocare de date ce urmează să fie încheiate în cadrul unui sistem de trasabilitate.

Prezentul document este elaborat ca instrument de sprijinire a auditorilor autorizați și conține orientări fără caracter obligatoriu, care nu creează noi obligații juridice. În măsura în care prezentele orientări pot interpreta legislația, poziția Comisiei nu aduce atingere niciunei interpretări a directivei menționate anterior care poate fi pronunțată de Curtea de Justiție a Uniunii Europene.

2. Contextul general al auditurilor

Fiecare depozit primar de date contractat de un producător face obiectul unui proces de audit anual. În cazul în care același furnizor terț gestionează două sau mai multe depozite primare de date, ar trebui efectuat un audit separat și ar trebui prezentat un raport de audit distinct pentru fiecare depozit de date.

Auditul trebuie să fie efectuat în ceea ce privește depozitul primar de date și serviciile conexe acestuia și trebuie să includă o evaluare a măsurii în care respectivul furnizor terț și, dacă este cazul, subcontractanții acestuia respectă cerințele legislative relevante prevăzute în Directiva 2014/40/UE, în Regulamentul de punere în aplicare (UE) 2018/574 și în Regulamentul delegat (UE) 2018/573.

Fiecare producător sau importator trebuie să notifice Comisiei identitatea auditorului pe care îl propune pentru auditarea depozitului său primar de date și a respectivului furnizor terț. Toți auditorii propuși fac obiectul aprobării de către Comisie.

3. Sfera auditurilor

Sferă de aplicare și obiectiv

Rapoartele de audit trebuie să fie prezentate cu scopul de a informa autoritățile naționale competente și Comisia cu privire la constatările auditorilor, în special în ceea ce privește eventualele nereguli legate de accesul la datele stocate de depozitele primare de date.

Rapoartele de audit trebuie să dedice capitole distincte fiecăruia dintre cele șase domenii prezentate mai jos. Fiecare capitol trebuie să abordeze punctele de verificare din domeniul respectiv, astfel cum sunt enumerate în lista de verificare prevăzută în anexă.

Auditurile trebuie să fie efectuate în conformitate cu respectiva listă de verificare, care stabilește domeniile și punctele de verificare necesare în conformitate cu standardul ISO/IEC 27001:2013 privind sistemele de management al securității informației (4). În acest scop, auditorii trebuie să țină cont de faptul că articolul 10 din Regulamentul delegat (UE) 2018/573 al Comisiei face referire la standardul ISO/IEC 27001:2013 ca standard preferat în materie de management al securității informației în contextul gestionării depozitelor primare de date.

Domeniu Obiective Securitatea organizațională și fizică Stabilirea unui cadru de gestionare pentru securitatea informațiilor în interiorul organizației. Garantarea faptului că angajații și contractanții înțeleg responsabilitățile care le revin și sunt potriviți pentru rolurile pentru care sunt luați în considerare. Prevenirea accesului fizic neautorizat, a daunelor sau a perturbărilor provocate organizației, inclusiv în cazul unităților de stocare și de prelucrare a informațiilor. Prevenirea pierderilor, a daunelor, a furtului sau a compromiterii activelor și a întreruperii operațiunilor organizației. Securitatea operațiunilor Garantarea funcționării corecte și sigure a unităților de prelucrare a informațiilor. Protecția împotriva pierderii datelor. Înregistrarea evenimentelor și generarea de probe. Asigurarea integrității sistemelor operaționale. Prevenirea exploatării vulnerabilităților tehnice. Controlul accesului (utilizatori și aplicații) Limitarea accesului la unitățile de stocare și de prelucrare a informațiilor. Garantarea accesului utilizatorilor autorizați și prevenirea accesului neautorizat la sistem și la servicii. Responsabilizarea utilizatorilor în ceea ce privește protecția propriilor informații de autentificare. Prevenirea accesului neautorizat la sisteme și aplicații. Garantarea faptului că securitatea informațiilor este concepută și pusă în aplicare în cadrul ciclului de dezvoltare al sistemelor de informații. Securitatea comunicațiilor Garantarea unei utilizări adecvate și eficace a criptografiei pentru a proteja confidențialitatea, autenticitatea și/sau integritatea informațiilor. Asigurarea protecției informațiilor în cadrul rețelelor și al unităților de prelucrare a informațiilor aferente acestora. Menținerea securității informațiilor transferate în cadrul organizației și al entităților externe. Continuitatea activității Garantarea unei abordări consecvente și eficace a gestionării incidentelor legate de securitatea informațiilor, inclusiv în ceea ce privește comunicarea privind evenimentele și punctele slabe în materie de securitate. Continuitatea securității informațiilor trebuie să fie inclusă în sistemele de gestionare a continuității activităților organizației. Garantarea disponibilității unităților de prelucrare a informațiilor. Prevenirea oricărei încălcări a obligațiilor legale, statutare, de reglementare sau contractuale referitoare la securitatea informațiilor, precum și a oricărei cerințe în materie de securitate. Integritatea activelor și a datelor Identificarea activelor organizaționale și definirea responsabilităților adecvate în materie de protecție. Asigurarea unui nivel adecvat de protecție a informațiilor. Prevenirea divulgării, a modificării, a eliminării sau a distrugerii neautorizate a informațiilor stocate pe suporturi media.

Concluzii și recomandări

Concluziile unui audit trebuie să fie furnizate pentru fiecare punct de verificare menționat în lista de verificare.

În cadrul unui raport de audit, trebuie să fie evidențiate și elaborate numai constatările referitoare la probleme de neconformitate sau la alte riscuri identificate. Constatările trebuie să fie însoțite, de asemenea, de recomandări adecvate care să indice acțiunile necesare pentru eliminarea problemelor și a deficiențelor identificate în timpul auditului.

4. Aspecte procedurale

Frecvența

Auditorii trebuie să își prezinte rapoartele de audit în fiecare an. Întrucât sistemul de trasabilitate a devenit operațional la 20 mai 2019, auditorii sunt invitați să își prezinte primul raport anual de audit, care acoperă primul an de funcționare a sistemului de trasabilitate (de la 20 mai 2019 până la 19 mai 2020), până la 30 noiembrie 2020 cel târziu. Ulterior, auditorii sunt invitați să prezinte rapoarte anuale pentru următorii ani operaționali înainte de sfârșitul lunii octombrie a fiecărui an calendaristic.

Consecințele auditului

În cazul în care se întreprind acțiuni ulterioare pentru a evalua dacă furnizorul terț în cauză a pus în aplicare în mod corespunzător recomandările din raportul anual de audit, auditorul este invitat, în măsura posibilului, să transmită rezultatele Comisiei și autorităților naționale competente în termen de trei luni de la prezentarea raportului anual de audit.

5. Aspecte procedurale ale rapoartelor de audit

Informații referitoare la auditori

Numele auditorului (auditorilor) și, după caz, al firmei (firmelor) de audit asociate ar trebui să fie indicate în introducerea raportului de audit.

Formatul

Raportul de audit trebuie să fie furnizat în format electronic (PDF neprotejat, cu funcție de căutare).

Dacă este posibil, auditorii sunt invitați să prezinte Comisiei rapoartele anuale în limba engleză.

Procedura de transmitere

Raportul anual de audit și orice măsuri subsecvente unui astfel de raport trebuie să fie transmise pe cale electronică, prin e-mail la adresa SANTE-TT-SW@ec.europa.eu, cu următorul subiect: „Audit report [Follow-up to the audit report] for [anul] – [Denumirea producătorului contractant] – [Denumirea furnizorului terț auditat]”

Transparența

Pentru a promova transparența globală și responsabilitatea sistemului de trasabilitate a produselor din tutun, Comisia invită producătorii, pe bază de voluntariat, să convină cu auditorii lor respectivi să prezinte Comisiei și o versiune publică a raportului lor de audit, care să excludă orice date cu caracter personal sau sensibile din punct de vedere comercial.

Versiunile publice ale rapoartelor de audit vor fi publicate pe pagina web dedicată a Comisiei.

(1) Directiva 2014/40/UE a Parlamentului European și a Consiliului din 3 aprilie 2014 privind apropierea actelor cu putere de lege și a actelor administrative ale statelor membre în ceea ce privește fabricarea, prezentarea și vânzarea produselor din tutun și a produselor conexe și de abrogare a Directivei 2001/37/CE (JO L 127, 29.4.2014, p. 1).

(2) Regulamentul de punere în aplicare (UE) 2018/574 al Comisiei din 15 decembrie 2017 privind standardele tehnice pentru instituirea și operarea unui sistem de trasabilitate pentru produsele din tutun (JO L 96, 16.4.2018, p. 7).

(3) Regulamentul delegat (UE) 2018/573 al Comisiei din 15 decembrie 2017 privind elementele principale ale contractelor de stocare de date care urmează să fie încheiate ca parte a unui sistem de trasabilitate pentru produsele din tutun (JO L 96, 16.4.2018, p. 1).

(4) ISO/IEC 27001:2013. Tehnologia informației – Tehnici de securitate – Sisteme de management al securității informației – Cerințe. Cerințele stabilite în ISO/IEC 27001:2013 sunt generice și sunt destinate a fi aplicate tuturor organizațiilor, indiferent de tip, mărime sau natură.