OZNÁMENIE KOMISIE

Usmernenia k výročným audítorským správam predkladaným v súlade s článkom 15 ods. 8 smernice 2014/40/EÚ v súvislosti so systémom EÚ na vysledovateľnosť tabakových výrobkov

(Text s významom pre EHP)

(2020/C 167/01)

VYHLÁSENIE O ODMIETNUTÍ ZODPOVEDNOSTI: Cieľom tohto dokumentu je poskytnúť schválenému audítorovi usmernenia k rozsahu auditu a postupu predkladania výročnej audítorskej správy. Nie je právne záväzný, ale poskytuje všeobecné usmernenia s odporúčaniami a zohľadňuje najlepšie postupy. Týmito usmerneniami nie sú dotknuté žiadne vnútroštátne pravidlá.

1. Úvod

V článku 15 smernice Európskeho parlamentu a Rady 2014/40/EÚ (1) sa stanovuje zavedenie systému EÚ na vysledovateľnosť tabakových výrobkov s cieľom riešiť problém nezákonného obchodovania. Systém bol spustený do prevádzky 20. mája 2019.

Ako súčasť systému sa od členských štátov v článku 15 ods. 8 smernice 2014/40/EÚ vyžaduje zabezpečiť, aby výrobcovia a dovozcovia tabakových výrobkov uzatvorili zmluvy o uchovávaní údajov s nezávislou treťou stranou (ďalej len „tretia strana“) na účely vytvorenia zariadenia na uchovávanie údajov s cieľom spravovať údaje o tabakových výrobkoch jednotlivých výrobcov a dovozcov (ďalej len „primárny register“).

V záujme zaručenia nezávislej prevádzky systému vysledovateľnosti sa v článku 15 ods. 8 smernice 2014/40/EÚ stanovuje, že činnosti primárneho registra a jeho poskytovateľa ako tretej strany bude monitorovať tretia strana. Audítora navrhuje a platí výrobca tabakových výrobkov a schvaľuje Komisia. Externý audítor predkladá svoje posúdenie príslušným vnútroštátnym orgánom a Komisii v podobe výročnej správy, v ktorej posúdi najmä všetky nezrovnalosti v súvislosti s prístupom k údajom.

Tento dokument má schválenému audítorovi poskytnúť usmernenia k rozsahu auditu a postupu predkladania výročnej audítorskej správy. Treba ho chápať v kontexte vykonávacieho nariadenia Komisie (EÚ) 2018/574 (2), v ktorom sa stanovujú technické požiadavky na vytvorenie a prevádzku systému vysledovateľnosti vrátane primárnych registrov, ako aj delegovaného nariadenia Komisie (EÚ) 2018/573 (3), v ktorom sú vymedzené kľúčové prvky zmlúv o uchovávaní údajov uzatváraných v rámci systému vysledovateľnosti.

Tento dokument má slúžiť ako nástroj na pomoc schváleným audítorom. Ide o nezáväzné usmernenia, ktoré neukladajú žiadne nové zákonné požiadavky. V rozsahu, v akom sa môžu v týchto usmerneniach vykladať právne predpisy, pozíciou Komisie nie je ovplyvnený žiadny výklad tejto smernice, ktorý by vydal Súdny dvor Európskej únie.

2. Všeobecný kontext auditov

Každý primárny register, na ktorý výrobca uzavrel zmluvu, podlieha výročnému auditu. Ak tá istá tretia strana prevádzkuje dva alebo viac primárnych registrov, audit by sa mal vykonať a audítorská správa predložiť za každý register zvlášť.

Audit sa vykoná v prípade primárneho registra a jeho súvisiacich služieb vrátane posúdenia, či príslušná tretia strana, prípadne aj jej subdodávatelia spĺňajú príslušné právne požiadavky stanovené v smernici 2014/40/EÚ, vykonávacom nariadení (EÚ) 2018/574 a delegovanom nariadení (EÚ) 2018/573.

Každý výrobca alebo dovozca musí Komisii oznámiť audítora, ktorého navrhne na účely vykonania auditu jeho primárneho registra, a príslušnú tretiu stranu. Všetkých navrhnutých audítorov schvaľuje Komisia.

3. Rozsah auditov

Rozsah a cieľ

Audítorské správy sa predkladajú na účely informovania príslušných vnútroštátnych orgánov a Komisie o zisteniach audítorov, zvlášť pokiaľ ide o všetky nezrovnalosti v prístupe k údajom uloženým v primárnych registroch.

Audítorské správy by mali obsahovať osobitné kapitoly venované každej zo šiestich oblastí, ktoré sa uvádzajú nižšie. Každá kapitola by mala byť zameraná na kontrolné body v príslušnej oblasti tak, ako sú uvedené v kontrolnom zozname, ktorý je v prílohe.

Audity by sa mali vykonávať podľa tohto kontrolného zoznamu, v ktorom sú požadované oblasti a kontrolné body stanovené v súlade s normou ISO/IEC 27001:2013 o systémoch riadenia informačnej bezpečnosti (4). V tejto súvislosti by mali vziať audítori na vedomie článok 10 delegovaného nariadenia Komisie (EÚ) 2018/573, v ktorom sa odkazuje na normu ISO/IEC 27001:2013 ako na preferovanú normu riadenia informačnej bezpečnosti z hľadiska prevádzky primárnych registrov.

Oblasť Ciele Organizačná a fyzická bezpečnosť Vytvorenie rámca na riadenie informačnej bezpečnosti v rámci organizácie. Vysvetlenie úloh zamestnancom a dodávateľom a výber vhodných zamestnancov a dodávateľov na ich splnenie. Zabránenie neoprávnenému fyzickému prístupu, poškodeniu alebo zasahovaniu do fungovania organizácie vrátane jej informácií a zariadení na spracovanie informácií. Zabránenie stratám, poškodeniu, krádeži alebo kompromitácii aktív a prerušeniu činností organizácie. Prevádzková bezpečnosť Zabezpečenie správnej a bezpečnej prevádzky zariadení na spracovanie informácií. Ochrana pred stratou údajov. Zaznamenávanie udalostí a získavanie dôkazov. Zabezpečenie integrity operačných systémov. Predchádzanie zneužívaniu technických slabín. Kontrola prístupu (používatelia a aplikácie) Obmedzenie prístupu k informáciám a zariadeniam na spracovanie informácií. Zabezpečenie prístupu oprávneným používateľom a zabránenie neoprávnenému prístupu do systému a k službám. Prenesenie zodpovednosti za ochranu svojich autentifikačných informácií na používateľov. Predchádzanie neoprávnenému prístupu do systému a k aplikáciám. Zabezpečenie informačnej bezpečnosti, ktorá je navrhnutá a realizovaná v rámci životného cyklu vývoja informačných systémov. Bezpečnosť komunikácie Zabezpečenie riadneho a účinného využívania šifrovania na ochranu dôvernosti, pravosti a/alebo integrity informácií. Zabezpečenie ochrany informácií v sieťach a súvisiacich zariadeniach na spracovanie informácií. Zachovávanie bezpečnosti informácií prenášaných v rámci organizácie a v rámci vonkajších subjektov. Kontinuita podnikateľskej činnosti Zabezpečenie konzistentného a efektívneho prístupu k riešeniu prípadov ohrozenia bezpečnosti informácií vrátane oznamovania týchto prípadov a iných bezpečnostných rizík. Kontinuita informačnej bezpečnosti musí byť súčasťou systémov riadenia kontinuity činností organizácie. Zabezpečenie dostupnosti zariadení na spracovanie informácií. Vyhýbanie sa porušeniam zákonných, štatutárnych, regulačných alebo zmluvných záväzkov týkajúcich sa informačnej bezpečnosti a akýchkoľvek bezpečnostných požiadaviek. Integrita aktív a údajov Identifikácia organizačných aktív a vymedzenie zodpovedajúcich povinností v oblasti ochrany. Zabezpečenie primeranej úrovne ochrany informácií. Predchádzanie neoprávnenému zverejňovaniu, pozmeňovaniu, odstraňovaniu alebo ničeniu informácií uložených na médiu.

Závery a odporúčania

Závery auditu by sa mali týkať všetkých kontrolných bodov uvedených v kontrolnom zozname.

V audítorskej správe by sa mali zdôrazniť a vypracovať iba tie zistenia, ktoré sa týkajú prípadov nesúladu alebo iných zistených rizík. Zistenia by mali obsahovať aj vhodné odporúčania, v ktorých sa stanovujú opatrenia potrebné na odstránenie problémov a nedostatkov zistených počas auditu.

4. Procesné aspekty

Periodicita

Audítori sú povinní predkladať svoje správy každoročne. Keďže systém vysledovateľnosti začal fungovať od 20. mája 2019, audítori sa vyzývajú, aby do 30. novembra 2020 predložili svoje prvé výročné audítorské správy vzťahujúce sa na prvý rok prevádzky systému vysledovateľnosti (t. j. od 20. mája 2019 do 19. mája 2020). Následne sa audítori vyzývajú, aby výročné správy za nasledujúce prevádzkové roky predkladali do konca októbra každého kalendárneho roka.

Následná kontrola po audite

Ak sa vykoná následná kontrola s cieľom posúdiť, či dotknutá tretia strana v dostatočnej miere realizovala odporúčania výročnej audítorskej správy, audítor, ak je to možné, sa vyzýva predložiť výsledky tejto kontroly Komisii a príslušným vnútroštátnym orgánom do troch mesiacov od predloženia výročnej audítorskej správy.

5. Procesné aspekty audítorských správ

Informácie o audítoroch

V úvode audítorskej správy by sa mali uviesť mená audítora, resp. audítorov a prípadne aj príslušná audítorská firma, resp. firmy.

Formát

Audítorská správa by sa mala zasielať v elektronickom formáte (s možnosťou vyhľadávania, nechránený dokument vo formáte PDF).

Audítori sa vyzývajú, aby výročné správy predkladali Komisii pokiaľ možno v anglickom jazyku.

Postup predkladania žiadostí

Výročná audítorská správa, ako aj výsledky všetkých kontrol jej plnenia by sa mali zasielať elektronicky e-mailom na adresu SANTE-TT-SW@ec.europa.eu, pričom do predmetu správy sa uvedie: „Audit report [Follow-up to the audit report] for [rok] – [meno/názov zmluvného dodávateľa] – [meno/názov tretej strany, ktorá je predmetom auditu]“

Transparentnosť

S úmyslom podporiť celkovú transparentnosť a zodpovednosť systému vysledovateľnosti tabakových výrobkov Komisia vyzýva výrobcov, aby na dobrovoľnom základe súhlasili s tým, že ich príslušní audítori predložia Komisii aj verejne dostupnú verziu svojej audítorskej správy s výnimkou osobných a citlivých obchodných údajov.

Verejne dostupné verzie audítorských správ by sa uverejňovali na osobitnej webovej stránke Komisie.

(1) Smernica Európskeho parlamentu a Rady 2014/40/EÚ z 3. apríla 2014 o aproximácii zákonov, iných právnych predpisov a správnych opatrení členských štátov týkajúcich sa výroby, prezentácie a predaja tabakových a súvisiacich výrobkov a o zrušení smernice 2001/37/ES (Ú. v. EÚ L 127, 29.4.2014, s. 1).

(2) Vykonávacie nariadenie Komisie (EÚ) 2018/574 z 15. decembra 2017 o technických normách pre vytvorenie a prevádzku systému vysledovateľnosti pre tabakové výrobky (Ú. v. EÚ L 96, 16.4.2018, s. 7).

(3) Delegované nariadenie Komisie (EÚ) 2018/573 z 15. decembra 2017 o kľúčových prvkoch zmlúv o uchovávaní údajov, ktoré sa majú uzatvárať ako súčasť systému vysledovateľnosti pre tabakové výrobky (Ú. v. EÚ L 96, 16.4.2018, s. 1).

(4) ISO/IEC 27001:2013. Informačné technológie. Bezpečnostné metódy. Systémy riadenia informačnej bezpečnosti. Požiadavky. Požiadavky stanovené v norme ISO/IEC 27001:2013 sú všeobecné a uplatniteľné vo všetkých organizáciách bez ohľadu na ich typ, veľkosť alebo povahu.