Útvar pre vnútorný audit plánuje svoju činnosť na základe posúdenia rizika a analýzy kapacít. Vyžaduje sa to v jeho poverovacej listine a podľa medzinárodných štandardov, pričom to pomáha zabezpečiť efektívne a účinné vykonávanie plánu auditu. Jeho plnenie sa pravidelne monitoruje a podľa potreby prispôsobuje.

Nezávislosť práce Útvaru pre vnútorný audit je zakotvená v nariadení o rozpočtových pravidlách a jeho poverovacej listine, ktorú schválila Komisia. V tejto poverovacej listine sa stanovuje, že audítori Útvaru pre vnútorný audit si v záujme zabezpečenia objektívnosti svojich posudkov a zabránenia konfliktu záujmov musia zachovávať svoju nezávislosť vo vzťahu k činnostiam a operáciám, ktoré skúmajú. Ak dôjde k skutočnému alebo zdanlivému narušeniu ich objektívnosti, podrobné informácie o tejto skutočnosti by sa mali zverejniť. Ak to vnútorný audítor považuje za potrebné, môže sa obrátiť priamo na predsedu Komisie a/alebo na kolégium.

Údaje sú strategickým aktívom pre organizáciu verejného sektora. Politiky EÚ a zavádzanie programov EÚ sa čoraz viac riadia podľa údajov. Tvorcovia politík na prijímanie informovaných rozhodnutí používajú dôkazy kvantitatívnej povahy. Údaje sa zároveň používajú na preukázanie plnenia rozpočtu EÚ a pokroku pri dosahovaní cieľov jej výdavkových programov. Údaje by mali byť všeobecne dostupné a, ak je to vhodné, mala by prebiehať ich výmena medzi útvarmi Komisie s cieľom zlepšiť nákladovú efektívnosť. Komisia musí zároveň zabezpečiť úplný súlad so zákonnými podmienkami a požiadavkami na dôvernosť a zaručiť vysokú úroveň bezpečnosti pre citlivé informácie. Potreba zachovania vysokej úrovne štandardov ochrany súkromia, bezpečnosti a etiky bez zásahu do toku a všeobecného používania údajov je neoddeliteľnou súčasťou politických usmernení a je zdôraznená v pracovných metódach Komisie predsedníčky von der Leyenovej.

V súlade so svojou metodikou a najlepšími postupmi Útvar pre vnútorný audit pristupoval k výkonnosti nepriamym spôsobom. Robí to prostredníctvom skúmania toho, či a ako vedenie vytvorilo systémy kontroly určené na posudzovanie výkonnosti a poskytovanie uistenia o výkonnosti (efektívnosti a účinnosti) svojich činností. Týmto prístupom chce zabezpečiť, aby mali generálne riaditeľstvá a útvary vytvorené primerané výkonnostné rámce, nástroje na meranie výkonnosti, kľúčové ukazovatele a systémy monitorovania.

V tomto kontexte plnom výzev Útvar pre vnútorný audit vykonal viacero auditov pokrývajúcich rôzne aspekty správy údajov. Výsledky týchto auditov jasne poukazujú na to, že v tejto napredujúcej oblasti sú potrebné výrazné vylepšenia, pričom v roku 2020 bolo v súvislosti so správou údajov vydaných niekoľko veľmi dôležitých odporúčaní.

V rámci auditu správy údajov, informácií a vedomostí sa posúdila účinnosť stratégie Komisie pre správu údajov, informácií a vedomostí. Dospelo sa k záveru, že Komisia by mala pripraviť osobitnú stratégiu a štruktúru s cieľom: 1) zlepšiť spôsob zbierania, správy, výmeny a uchovávania údajov, informácií a vedomostí a 2) pripraviť nové príležitosti pre spoluprácu. Útvar pre vnútorný audit uznal, že v rámci hraníc súčasnej koncepcie stratégie a riadenia sa urobili významné kroky pre nastavenie priorít, koordináciu a správu aktivít v oblasti správy údajov, informácií a vedomostí. V kľúčových oblastiach sa však vyžadujú primerané zlepšenia, ktoré by Komisii umožnili úplné zjednotenie stratégie správy údajov, informácií a vedomostí s jej politickými cieľmi a prioritami na podporu úlohy dohľadu riadiaceho orgánu (Riadiaci výbor pre správu informácií) a zabezpečenie účinnej správy údajov, informácií a vedomostí. Cieľom navrhovaných zlepšení je doplnenie existujúceho rámca, lepšie reagovanie na výzvy a zmeny, ktoré so sebou prináša realizácia Komisie plne založenej na údajoch.

V rámci auditu práce Spoločného výskumného centra na podporu politiky EÚ a správy vedomostí sa identifikovala súvisiaca otázka zjednotenia s prioritami a cieľmi v rámci Komisie. Spoločné výskumné centrum je útvar Európskej komisie zaoberajúci sa vedeckými údajmi a vedomosťami. Vzhľadom na skutočnosť, že jedným z jeho hlavných cieľov je podporovať politiky EÚ s nezávislými vedeckými dôkazmi najvyššej kvality počas celého politického cyklu v rôznych oblastiach, sa primeraná správa údajov, informácií a vedomostí považuje za rozhodujúci faktor jeho úspechu. Hoci sa podpora politiky a procesy správy vedomostí účinne zaviedli, aby Spoločnému výskumnému centru umožňovali mobilizovať dostupnú odbornosť s cieľom včas predkladať výsledky vysokej kvality, ktoré by uspokojili potreby politickej podpory klienta, koncepcia procesov obsahuje významný (veľmi dôležitý) nedostatok s vplyvom na ich účinné zavedenie. Stanovenie potrieb podpory politiky v rámci Komisie na inštitucionálnej úrovni a na úrovni generálneho riaditeľstva by sa malo výrazne posilniť tak, aby sa mohli účinnejšie určovať priority činností centra v súlade s prioritami Komisie.

Ďalším kľúčovým aspektom správy údajov je uchovávanie informácií a zachovanie dôvernej povahy spravovaných údajov. Je to o to dôležitejšie pre klasifikované informácie, keďže ich neoprávnené zverejnenie by mohlo výrazne poškodiť záujmy EÚ alebo jedného či viacerých z jej členských štátov. Pri audite riadenia grantov programu Horizont 2020 vo Výkonnej agentúre pre výskum audítori zistili, že hoci ex ante kontroly platieb v rámci programu Horizont 2020 a procesy na uzatváranie projektov programu Horizont 2020 boli účinné, existovali nedostatky v riadení projektov zahŕňajúcich skutočnosti so stupňom utajenia EU-restricted (vyhradené), ktorých výsledkom bolo narušenie bezpečnosti.

Digitálna stratégia Komisie dopĺňa jej stratégiu správy údajov, informácií a vedomostí. Digitálna stratégia prináša víziu pre digitálne transformovanú správu orientovanú na používateľa a založenú na údajoch. Jedným z prvkov umožňujúcich túto transformáciu je cloud computing. Cieľom verejného cloud computingu je priniesť výhody, akými sú dynamika podnikania, jednoduchosť používania, dostupnosť údajov, úspora nákladov a udržateľnosť. Primeraná ochrana údajov by však mala zostať kľúčovým aspektom pri prijímaní informačno-technologických riešení v cloude. V audite správy verejných cloudových služieb Útvar pre vnútorný audit uznal úsilie vynaložené za posledné roky na rozvoj vízie riešení informačno-technologickej infraštruktúry založenej na cloude. Hoci Útvar pre vnútorný audit uznal kroky, ktoré Komisia už prijala na zavedenie primeraných opatrení na používanie verejných cloudových služieb „infraštruktúry ako služby“ a „platformy ako služby“, dospel k záveru, že riadenie a bezpečnosť týchto bezpečnostných cloudových služieb potrebujú výraznú podporu na zabezpečenie dosiahnutia ich cieľov a zároveň zníženia vystavenia riziku.

4.1.2.Ochrana údajov

V dvoch auditoch sa posudzovala efektivita a účinnosť systémov vnútornej kontroly, ktoré dotknutým generálnym riaditeľstvám Komisie umožňujú preukázať súlad s nariadením (EÚ) 2018/1725 o ochrane osobných údajov. V oboch prípadoch sa odhalili výrazné nedostatky v zavedených systémoch vnútornej kontroly. Toto Komisiu vystavuje rizikám straty dobrého mena, čo môže mať vplyv na dosahovanie jej všeobecného cieľa stať sa „modernou, vysokovýkonnou a udržateľnou Európskou Komisiou“, najmä vďaka jej kľúčovej úlohe pri prijímaní predpisov o ochrane údajov v Európe.

1.Prvý audit sa týkal piatich generálnych riaditeľstiev a útvarov na inštitucionálnej a miestnej úrovni a vyplynulo z neho celkovo osem veľmi dôležitých odporúčaní. Útvar pre vnútorný audit dospel k záveru, že hoci Komisia dosiahla výrazný pokrok zavedením kontrolných systémov umožňujúcich generálnym riaditeľstvám a útvarom preukázať súlad s platným právnym základom, stále sú na dosiahnutie úplného súladu potrebné výrazné zlepšenia účinnosti a efektívnosti týchto systémov. Týka sa to: 1) aspektov všeobecného rámca, ktorým sa riadi ochrana údajov; 2) úlohy a činností zodpovednej osoby na podporu procesu ochrany údajov v rámci Komisie a 3) použitia cielených opatrení na zlepšenie spĺňania podmienok kľúčových ustanovení nariadenia (EÚ) 2018/1725. Tieto zlepšenia by sa mali považovať za doplňujúce opatrenia, ktorých cieľom je podpora existujúcich štruktúr riadenia a procesov spojených s otázkami ochrany údajov, pričom sa budú dodržiavať zásady súčasného decentralizovaného modelu Komisie, ktorý zostáva v platnosti.

2.Druhý audit sa vykonal na Generálnom riaditeľstve pre vzdelávanie, mládež, šport a kultúru, ktoré je zodpovedné za programy, ako napríklad Erasmus+ a Európsky zbor solidarity, a vyplynulo z neho jedno kritické a štyri veľmi dôležité odporúčania. Z hľadiska účasti na týchto programoch osobné údaje generálnemu riaditeľstvu poskytuje veľký počet osôb. Generálne riaditeľstvo ako delegovaný prevádzkovateľ tieto osobné údaje spracúva a odovzdáva ich vnútroštátnym agentúram v členských štátoch EÚ a tretích krajinách, ktoré sú zodpovedné za vykonávanie projektov na vnútroštátnej úrovni. Generálne riaditeľstvo pre vzdelávanie, mládež, šport a kultúru spolu s vnútroštátnymi agentúrami, ktoré pôsobia ako sprostredkovatelia, musia zabezpečiť, aby boli údaje prijaté od účastníkov programov primerane chránené všetkými aktérmi, ktorí k nim majú prístup. Útvar pre vnútorný audit zistil, že: 1) generálne riaditeľstvo zaviedlo určité prvky súvisiace s ochranou osobných údajov do usmerňujúcich dokumentov a zmlúv, ktorými sa tieto programy riadia a 2) ochrana osobných údajov sa výslovne uvádza vo vyhláseniach hospodáriaceho subjektu vnútroštátnych agentúr. Tieto prvky sú základom systému kontroly na spracovanie osobných údajov, nie sú však vždy primerane zavedené a, presnejšie, nepredstavujú bezpečnostné opatrenia v zmysle nariadenia (EÚ) 2018/1725, pokiaľ ide o medzinárodné prenosy údajov do krajín mimo EÚ/Európskeho hospodárskeho priestoru. Systém vnútornej kontroly zavedený na ochranu osobných údajov príjemcov a účastníkov programov Erasmus+ a Európsky zbor solidarity nebol vyhodnotený ako účinný pri zabezpečení súladu s kľúčovými ustanoveniami nariadenia.

Prierezová otázka, ktorá vyplynula z týchto dvoch auditov, sa týka prenosu údajov do tretích krajín. Zrušenie štítu na ochranu osobných údajov medzi EÚ a USA („rozsudok vo veci Schrems II“) predstavuje konkrétne výzvy pre útvary, ktoré prenášajú osobné údaje do tretích krajín alebo používajú cloud. V reakcii na príkaz európskeho dozorného úradníka pre ochranu údajov Komisia vyhodnotila vyše 600 záznamov o spracovaní, ktoré by sa mohli týkať problematických medzinárodných prenosov osobných údajov. Toto kritické odporúčanie, ktoré Útvar pre vnútorný audit adresoval Generálnemu riaditeľstvu pre vzdelávanie, mládež, šport a kultúru, súviselo s prenosom osobných údajov do tretích krajín. V nadväznosti na kroky, ktoré podniklo generálne riaditeľstvo, Útvar pre vnútorný audit po dátume uzávierky tejto výročnej správy vypracoval posúdenie niektorých opatrení zavedených auditovaným subjektom. Útvar pre vnútorný audit dospel k záveru, že Generálne riaditeľstvo pre vzdelávanie, mládež, šport a kultúru čiastočne zmiernilo riziká a v dôsledku toho zmiernilo úroveň rizika pre dve odporúčania (z „kritického“ na „veľmi dôležité“ a z „veľmi dôležité“ na „dôležité“).

Napokon, v ďalšom audite súvisiacom s riadením odborníkov v rámci grantov programu Horizont 2020 sa zistil jeden problém týkajúci sa spracúvania osobných údajov odborníkov, z čoho vyplynulo veľmi dôležité odporúčanie.

4.1.3.Stratégie dohľadu v súvislosti s vykonávaním programov tretími stranami

Povoľujúci úradníci musia vypracovať primerané a účinné stratégie a činnosti pre dohľad nad účinným vykonávaním programov a ochrany rozpočtu EÚ delegovanými subjektmi a pre ich monitorovanie a pre rýchle riešenie akýchkoľvek zistených možných ťažkostí. Útvar pre vnútorný audit v predchádzajúcich rokoch vykonal niekoľko auditov mechanizmov dohľadu zavedených v generálnych riaditeľstvách a útvaroch v súvislosti s vykonávaním programov (a/alebo politík) tretími stranami. Často zistil nedostatky súvisiace s účinnosťou stratégií pre dohľad. Vo svojom celkovom stanovisku k finančnému riadeniu Útvar pre vnútorný audit zdôrazňoval dôležitosť stratégií dohľadu vo vzťahu k tretím stranám, ktoré vykonávajú politiky, šesť po sebe nasledujúcich rokov (2015 až 2020). V roku 2020 sa tri audity zamerali na príspevky EÚ vykonané prostredníctvom nepriameho riadenia.

Pri viacsubjektovom audite posúdení pilierov sa odhalili výrazné nedostatky v systéme vnútornej kontroly delegovaných fondov v rámci nepriameho riadenia na inštitucionálnej a miestnej úrovni na niekoľkých generálnych riaditeľstvách v skupine vonkajšej činnosti. Hoci Komisia vynaložila veľké úsilie na zavedenie účinného systému na posúdenia pilierov a naďalej investuje do ďalšieho rozvoja inštitucionálneho prístupu na zvýšenie jednotného vykonávania a zníženie vysokých súvisiacich rizík, systém potrebuje výrazné posilnenie. Je to potrebné na zabezpečenie úrovne ochrany rozpočtu EÚ, ktorá je rovnaká ako pri priamom plnení rozpočtu. Zistené výrazné nedostatky sa týkajú 1) zmlúv podpísaných so sekretariátom Organizácie Spojených národov a súvisiacimi subjektmi bez predchádzajúceho pozitívneho posúdenia pilierov a bez prijatia primeraných opatrení dohľadu (dôsledkom tohto pozorovania bolo, že Útvar pre vnútorný audit predložil auditovaným subjektom kritické odporúčania); 2) nesprávnych informácií o stave posúdenia pilierov, na základe ktorých generálne riaditeľstvá a útvary podpísali zmluvy so subjektmi bez predchádzajúceho pozitívneho posúdenia pilierov a bez prijatia primeraných opatrení dohľadu; 3) neprimeraného inštitucionálneho dohľadu; 4) neprimeraného monitorovania podstatných systémových zmien subjektov s posúdením pilierov a 5) nedostatočného zapojenia generálnych riaditeľstiev a útvarov do posúdení pilierov vykonávaných tretími stranami. Útvar pre vnútorný audit vydal na základe týchto pozorovaní celkovo štyri kritické a 15 veľmi dôležitých odporúčaní piatim dotknutým generálnym riaditeľstvám. Podrobnosti sú uvedené v prílohe k tejto správe.

Zároveň ostatné dva audity 1) nepriameho riadenia s poverenými subjektmi v Generálnom riaditeľstve pre medzinárodné partnerstvá a Generálnom riaditeľstve pre európsku susedskú politiku a rokovania o rozšírení a 2) dohľadu nad plnením programu pre Európsku prekryvnú službu geostacionárnej navigácie na roky 2014 – 2020 v Generálnom riaditeľstve pre obranný priemysel a vesmír poskytli všeobecne pozitívny obraz auditovaných procesov. Pri týchto auditoch sa nezistili žiadne kritické ani veľmi dôležité problémy.

4.1.4.Stratégie kontroly v prípade vybratých generálnych riaditeľstiev a útvarov

Generálne riaditeľstvá a útvary musia zabezpečiť zákonnosť, správnosť a správne finančné riadenie programov a projektov financovaných z rozpočtu EÚ. Povoľujúci úradníci vymenovaní delegovaním navrhujú stratégiu kontroly. Táto stratégia zahŕňa ex ante a ex post kontroly, ktoré predstavujú kľúčové základné prvky na podporu každoročných vyhlásení o vierohodnosti. V roku 2020 Útvar pre vnútorný audit vykonal v tejto oblasti rôzne audity. Patrí medzi ne:

1) audit návrhu a plnenia stratégie kontroly vo Výkonnej agentúre pre spotrebiteľov, zdravie, poľnohospodárstvo a potraviny; 2) audit účinnosti vypracovania a vykonávania ex post stratégie kontroly pre Nástroj na prepájanie Európy vo Výkonnej agentúre pre inovácie a siete; 3) audit ex post stratégie auditu programu Horizont 2020 Generálneho riaditeľstva pre výskum a inováciu a 4) audit ex post kontrol vo Výkonnej agentúre pre vzdelávanie, audiovizuálny sektor a kultúru. Audity z roku 2020 poskytujú všeobecne pozitívny obraz, hoci pri dvoch z týchto štyroch auditov sa odhalili tieto nedostatky.

Spoločné realizačné centrum je z administratívneho hľadiska súčasťou Generálneho riaditeľstva pre výskum a inováciu a poskytuje audítorské služby rôznym vykonávacím orgánom programu Horizont 2020 formou finančných (ex post) auditov, ktoré vykonávajú jeho vlastní audítori alebo externé audítorské spoločnosti, s cieľom overiť oprávnenosť nákladov deklarovaných príjemcami. Útvar pre vnútorný audit zistil nedostatok vo vypracovaní ex post stratégie auditu pre program Horizont 2020 a vydal dve veľmi dôležité odporúčania.

Hoci vo Výkonnej agentúre pre inovácie a siete bola ex post stratégia kontroly vyhodnotená ako celkovo primerane vypracovaná a účinne vykonaná, jeden nedostatok sa týkal posúdenia zmien zmlúv o verejnom obstarávaní počas ex post auditov a dokumentácie práce vykonanej audítormi priamo na mieste.