În acest context dificil, Serviciul de Audit Intern a efectuat o serie de audituri care au vizat diferite aspecte ale gestionării datelor. Rezultatele acestor audituri indică în mod clar că sunt necesare îmbunătățiri semnificative în acest domeniu în viitor, o serie de recomandări foarte importante formulate în 2020 fiind legate de gestionarea datelor.

Auditul gestionării datelor, informațiilor și cunoștințelor a evaluat eficacitatea strategiei Comisiei în materie de gestionare a datelor, a informațiilor și a cunoștințelor. Concluzia auditului a identificat necesitatea stabilirii de către Comisie a unei strategii și a unei structuri specifice cu scopul de: (1) a îmbunătăți modul în care datele, informațiile și cunoștințele sunt colectate, gestionate, partajate și păstrate; și (2) a dezvolta noi oportunități de colaborare. Serviciul de Audit Intern a recunoscut că, în limitele strategiei și ale structurii de guvernanță actuale, au fost luate măsuri importante pentru a stabili prioritățile, a coordona și a gestiona activitățile din domeniul gestionării datelor, a informațiilor și a cunoștințelor. Cu toate acestea, sunt necesare îmbunătățiri proporționale în domenii-cheie, care ar permite Comisiei să dispună de o strategie de gestionare a datelor, a informațiilor și a cunoștințelor pe deplin aliniată la obiectivele și prioritățile sale politice, să consolideze rolul de supraveghere al organismului de conducere (Comitetul director pentru gestionarea informațiilor) și să asigure gestionarea eficace a datelor, a informațiilor și a cunoștințelor. Îmbunătățirile propuse vizează completarea cadrului existent, pentru a răspunde mai bine provocărilor și schimbărilor pe care le aduce punerea în aplicare a unei Comisii bazate în întregime pe date.

Un aspect legat de alinierea la prioritățile și obiectivele stabilite la nivelul Comisiei a fost identificat în cadrul auditului privind activitatea Centrului Comun de Cercetare în sprijinul gestionării politicilor și cunoștințelor UE. Centrul Comun de Cercetare este serviciul pentru știință și cunoaștere al Comisiei Europene. Având în vedere că unul dintre obiectivele sale principale este acela de a sprijini politicile UE cu dovezi științifice independente de cea mai înaltă calitate pe parcursul întregului ciclu de elaborare a politicilor în diverse domenii, gestionarea adecvată a datelor, a informațiilor și a cunoștințelor constituie un factor esențial de succes pentru centru. Deși procesele de sprijinire a politicilor și de gestionare a cunoștințelor sunt puse în aplicare în mod eficient pentru a permite centrului să mobilizeze expertiza disponibilă pentru a furniza în timp util rezultate de înaltă calitate, care să răspundă nevoilor clientului în materie de sprijin pentru politici, există o deficiență semnificativă (foarte importantă) în conceperea proceselor, care afectează punerea lor efectivă în aplicare. Identificarea la nivelul Comisiei a nevoilor de sprijin pentru politici la nivel instituțional și la nivelul direcțiilor generale ar trebui să fie consolidată în mod semnificativ pentru a permite o prioritizare mai eficace a activităților centrului, în conformitate cu prioritățile Comisiei.

Un alt aspect esențial al gestionării datelor îl constituie protejarea informațiilor și păstrarea confidențialității datelor gestionate. Acest lucru este cu atât mai important pentru informațiile clasificate cu cât divulgarea neautorizată a unor astfel de informații poate dăuna în mod semnificativ intereselor UE sau ale unuia ori ale mai multor state membre ale acesteia. În cadrul auditului privind gestionarea granturilor aferente programului Orizont 2020 în cadrul Agenției Executive pentru Cercetare, auditorii au constatat că, deși controalele ex ante privind plățile aferente programului Orizont 2020 și procesele de închidere a proiectelor din cadrul programului Orizont 2020 au fost eficace, existau deficiențe în gestionarea proiectelor care implicau informații EU-restricted, ceea ce a condus, în cele din urmă, la încălcări ale securității.

Strategia digitală a Comisiei este complementară strategiei sale de gestionare a datelor, a informațiilor și a cunoștințelor. Strategia digitală stabilește o viziune pentru o administrație transformată digital, orientată spre utilizatori și axată pe date. Unul dintre catalizatorii acestei transformări este reprezentat de tehnologia de tip cloud computing. Tehnologia de tip cloud computing public urmărește să aducă beneficii precum agilitatea întreprinderilor, ușurința utilizării, disponibilitatea datelor, economiile de costuri și sustenabilitatea. Cu toate acestea, protecția adecvată a datelor ar trebui să fie, de asemenea, un aspect esențial atunci când se adoptă soluții informatice în cloud. În cadrul auditului privind gestionarea serviciilor publice de cloud, Serviciul de Audit Intern a recunoscut eforturile depuse în ultimii ani pentru dezvoltarea unei viziuni a soluțiilor de infrastructură informatică bazate pe cloud. Deși recunoaște măsurile luate deja de Comisie pentru a institui mecanisme adecvate pentru utilizarea serviciilor publice de cloud „infrastructura ca serviciu” și „platforma ca serviciu”, Serviciul de Audit Intern a concluzionat că guvernanța și securitatea acestor servicii de securitate cloud trebuie îmbunătățite în mod semnificativ pentru a se asigura că acestea își ating obiectivele, reducând în același timp expunerea la riscuri.

4.1.2.Protecția datelor

Două audituri au evaluat eficiența și eficacitatea sistemelor de control intern care permit direcțiilor generale vizate ale Comisiei să demonstreze conformitatea cu Regulamentul (UE) 2018/1725 privind protecția datelor cu caracter personal. Ambele audituri au evidențiat deficiențe semnificative în sistemele de control intern existente. Acestea expun Comisia la riscuri reputaționale, care pot afecta realizarea obiectivului său general de a deveni o „Comisie Europeană modernă, performantă și durabilă”, în special având în vedere rolul său esențial în adoptarea reglementărilor privind protecția datelor în Europa.

1.Primul audit a vizat cinci direcții generale și servicii de la nivel instituțional și local și a condus la opt recomandări foarte importante în total. Serviciul de Audit Intern a concluzionat că, deși Comisia a realizat progrese considerabile în ceea ce privește instituirea unor sisteme de control care să permită direcțiilor generale și serviciilor să demonstreze conformitatea cu temeiul juridic aplicabil, mai trebuie realizate o serie de îmbunătățiri semnificative pentru a consolida eficacitatea și eficiența acestor sisteme în vederea realizării conformității depline. Acestea includ: (1) cadrul general care reglementează aspectele legate de protecția datelor; (2) rolul și acțiunile responsabilului cu protecția datelor pentru a sprijini procesul de protecție a datelor la nivelul Comisiei; și (3) aplicarea unor măsuri specifice pentru a îmbunătăți respectarea dispozițiilor-cheie din Regulamentul (UE) 2018/1725. Aceste îmbunătățiri ar trebui privite ca măsuri complementare menite să consolideze structurile de guvernanță existente și procesele legate de aspecte ale protecției datelor, respectând în același timp principiile actualului model descentralizat al Comisiei, care rămân valabile.

2.Al doilea audit a fost efectuat în cadrul Direcției Generale Educație, Tineret, Sport și Cultură, care este responsabilă de programe precum Erasmus + și Corpul european de solidaritate, și a condus la formularea unei recomandări esențiale și a patru recomandări foarte importante. În contextul participării lor la aceste programe, un număr mare de persoane furnizează direcției generale anumite date cu caracter personal. În calitate de operator de date delegat, direcția generală prelucrează aceste date cu caracter personal și le transmite agențiilor naționale din statele membre ale UE și din țările terțe, care sunt responsabile de punerea în aplicare a proiectelor la nivel național. Împreună cu agențiile naționale, care acționează în calitate de persoane împuternicite de operator, Direcția Generală Educație, Tineret, Sport și Cultură trebuie să se asigure că datele primite de la participanții la programe sunt protejate în mod adecvat de către toți actorii care au acces la aceste date. Serviciul de Audit Intern a constatat că: (1) direcția generală a introdus anumite elemente legate de protecția datelor cu caracter personal în documentele de orientare și în acordurile care reglementează programele; și (2) protecția datelor cu caracter personal este menționată în mod explicit în declarațiile de gestiune ale agențiilor naționale. Aceste elemente sunt componente fundamentale ale sistemului de control pentru prelucrarea datelor cu caracter personal, însă nu sunt întotdeauna puse în aplicare în mod adecvat și, mai precis, nu constituie garanții, astfel cum se prevede în Regulamentul (UE) 2018/1725, pentru transferurile internaționale de date în afara UE/țărilor din Spațiul Economic European. Sistemul de control intern instituit pentru protecția datelor cu caracter personal ale beneficiarilor și participanților la programele Erasmus + și Corpul european de solidaritate nu s-a dovedit a fi eficace în asigurarea conformității cu dispozițiile-cheie ale regulamentului.

O problemă transversală care a reieșit din aceste două audituri se referă la transferul de date cu caracter personal către țări terțe. Declararea nevalidă a Deciziei privind Scutul de confidențialitate UE-SUA („hotărârea Schrems II”) ridică provocări concrete pentru serviciile care transferă date cu caracter personal către țări terțe sau care utilizează tehnologia cloud. Ca răspuns la un ordin al Autorității Europene pentru Protecția Datelor, Comisia a evaluat peste 600 de documente de prelucrare care ar putea viza transferuri internaționale problematice de date cu caracter personal. Recomandarea esențială adresată de Serviciul de Audit Intern Direcției Generale Educație, Tineret, Sport și Cultură a fost legată de transferul de date cu caracter personal către țări terțe. În urma acțiunilor întreprinse de direcția generală, Serviciul de Audit Intern a efectuat, după data-limită a prezentului raport anual, o evaluare a unora dintre măsurile puse în aplicare de entitatea auditată. Serviciul de Audit Intern a concluzionat că Direcția Generală Educație, Tineret, Sport și Cultură a atenuat parțial riscurile și, prin urmare, a redus nivelul de risc pentru două recomandări (de la „esențial” la „foarte important” și de la „foarte important” la „important”).

În cele din urmă, într-un alt audit referitor la gestionarea experților în cadrul granturilor programului Orizont 2020, s-a identificat o problemă în ceea ce privește prelucrarea datelor cu caracter personal ale experților, conducând la o recomandare foarte importantă.

4.1.3.Strategiile de supraveghere pentru punerea în aplicare a programelor de către părțile terțe

Ordonatorii de credite trebuie să elaboreze strategii și activități adecvate și eficace pentru supravegherea și monitorizarea punerii în aplicare efective a programelor și a protejării bugetului UE de către entitățile delegate, precum și pentru abordarea promptă a oricăror dificultăți potențiale identificate. În anii precedenți, Serviciul de Audit Intern a efectuat mai multe audituri care s-au axat pe mecanismele de supraveghere existente la nivelul direcțiilor generale și al serviciilor pentru punerea în aplicare a programelor (și/sau a politicilor) de către părțile terțe. Acesta a identificat frecvent deficiențe în ceea ce privește eficacitatea strategiilor de supraveghere. Timp de șase ani consecutivi (2015-2020), în cadrul opiniei sale generale privind gestiunea financiară, Serviciul de Audit Intern a formulat un paragraf explicativ privind strategiile de supraveghere pentru părțile terțe care pun în aplicare politici. În 2020, trei audituri s-au axat pe contribuțiile UE puse în aplicare prin gestiune indirectă.

Auditul cu privire la evaluările bazate pe piloni, care a vizat mai multe entități, a evidențiat deficiențe semnificative ale sistemului de control intern pentru delegarea fondurilor în cadrul gestiunii indirecte, la nivel corporativ și local, într-o serie de direcții generale din familia acțiunilor externe. Deși Comisia a depus eforturi serioase pentru a institui un sistem eficace de evaluare bazată pe piloni și investește în continuare în dezvoltarea unei abordări corporative pentru a spori coerența punerii în aplicare și a reduce riscurile inerente ridicate, sistemul necesită o consolidare semnificativă. Acest lucru este necesar pentru a asigura un nivel de protecție a bugetului UE echivalent celui existent atunci când bugetul este executat direct. Deficiențele semnificative identificate se referă la (1) acordurile semnate cu Secretariatul Organizației Națiunilor Unite și cu entități conexe fără o evaluare pozitivă prealabilă bazată pe piloni și fără a se lua măsuri de supraveghere adecvate (această observație a condus la formularea unor recomandări esențiale de către Serviciul de Audit Intern pentru entitățile auditate); (2) informații incorecte cu privire la stadiul evaluărilor bazate pe piloni, care au determinat direcțiile generale și serviciile să semneze acorduri cu entități fără o evaluare pozitivă prealabilă bazată pe piloni și fără a lua măsuri de supraveghere adecvate; (3) supravegherea corporativă necorespunzătoare; (4) monitorizarea inadecvată a modificărilor de fond ale sistemului entităților evaluate pe baza pilonilor; și (5) implicarea insuficientă a direcțiilor generale și a serviciilor în evaluările bazate pe piloni efectuate de terți. Pe baza acestor observații, Serviciul de Audit Intern a emis, în total, 4 recomandări esențiale și 15 recomandări foarte importante adresate în total celor cinci direcții generale vizate. Detalii cu privire la acestea se găsesc în anexa la prezentul raport.

În același timp, celelalte două audituri privind (1) gestiunea indirectă cu entitățile cărora le-a fost încredințată execuția din cadrul Direcției Generale Parteneriate Internaționale și al Direcției Generale Vecinătate și Negocieri privind Extinderea și (2) supravegherea punerii în aplicare a programului 2014-2020 pentru Serviciul european geostaționar mixt de navigare din cadrul Direcției Generale Industria Apărării și Spațiu au oferit o imagine în general pozitivă a proceselor auditate. Aceste audituri nu au identificat nicio problemă critică sau foarte importantă.

4.1.4.Strategiile de control pentru direcțiile generale și serviciile selectate

Direcțiile generale și serviciile trebuie să asigure legalitatea, regularitatea și buna gestiune financiară a programelor și a proiectelor finanțate prin bugetul UE. Ordonatorii de credite delegați elaborează o strategie de control. Această strategie cuprinde controale ex ante și ex post care constituie elementele fundamentale ce stau la baza declarației anuale de asigurare. În 2020, Serviciul de Audit Intern a efectuat diverse audituri în acest domeniu. Acestea au inclus:

(1) un audit privind elaborarea și punerea în aplicare a strategiei de control în cadrul Agenției Executive pentru Consumatori, Sănătate, Agricultură și Alimente; (2) un audit privind eficacitatea elaborării și punerii în aplicare a strategiei de control ex post pentru Mecanismul pentru interconectarea Europei în cadrul Agenției Executive pentru Inovare și Rețele; (3) un audit privind strategia de audit ex post a programului Orizont 2020 în cadrul Direcției Generale Cercetare și Inovare; și (4) un audit privind controalele ex post în cadrul Agenției Executive pentru Educație, Audiovizual și Cultură. Auditurile din 2020 prezintă, în general, o imagine pozitivă, chiar dacă două dintre cele patru audituri au evidențiat următoarele deficiențe.

Centrul comun de implementare face parte din punct de vedere administrativ din Direcția Generală Cercetare și Inovare și furnizează servicii de audit pentru diferitele organisme de punere în aplicare a programului Orizont 2020 prin intermediul unor audituri financiare (ex post), efectuate fie de propriii auditori, fie de firme de audit externe, pentru a verifica eligibilitatea costurilor declarate de beneficiari. Serviciul de Audit Intern a identificat o deficiență în conceperea strategiei de audit ex post pentru programul Orizont 2020 și a emis două recomandări foarte importante.

Deși în cadrul Agenției Executive pentru Inovare și Rețele, s-a constatat că, în general, strategia de control ex post a fost concepută adecvat și pusă în aplicare în mod eficace, o deficiență a vizat evaluarea modificărilor aduse contractelor de achiziții în cursul auditurilor ex post și documentarea activității desfășurate de auditorii la fața locului.