MEDDELANDE FRÅN KOMMISSIONEN

Riktlinjer för de årliga revisionsrapporter som ska lämnas in i enlighet med artikel 15.8 i direktiv 2014/40/EU inom ramen för EU:s spårbarhetssystem för tobaksvaror

(Text av betydelse för EES)

(2020/C 167/01)

OBSERVERA: Syftet med detta dokument är att ge en auktoriserad revisor vägledning om revisionens omfattning och om förfarandet för inlämning av den årliga revisionsrapporten. Det är inte rättsligt bindande, utan innehåller allmänna riktlinjer med rekommendationer och återspeglar bästa praxis. Dessa riktlinjer påverkar inte tillämpningen av nationella bestämmelser.

1. Inledning

I artikel 15 i Europaparlamentets och rådets direktiv 2014/40/EU (1) föreskrivs inrättandet av ett EU-spårbarhetssystem för tobaksvaror för att motverka problemet med olaglig handel. Detta system togs i drift den 20 maj 2019.

Som ett led i detta system ska medlemsstaterna enligt artikel 15.8 i direktiv 2014/40/EU säkerställa att tillverkare och importörer av tobaksvaror sluter avtal om datalagring med en oberoende tredje part (nedan kallad tredjepartsleverantör) i syfte att upprätta en datalagringsanläggning som ska ta emot uppgifter om tobaksvaror från enskilda tillverkare och importörer (nedan kallad primär databas).

För att säkerställa att spårbarhetssystemet fungerar på ett oberoende sätt föreskrivs i artikel 15.8 i direktiv 2014/40/EU att en extern revisor ska övervaka verksamheten i den primära databasen och dess tredjepartsleverantör. Revisorn ska föreslås och betalas av tobakstillverkaren och godkännas av kommissionen. Den externa revisorn ska lämna sin bedömning i form av en årsrapport till de nationella behöriga myndigheterna och kommissionen, med en bedömning av framför allt eventuella oriktigheter när det gäller åtkomst.

Syftet med detta dokument är att ge en auktoriserad revisor vägledning om revisionens omfattning och om förfarandet för inlämning av den årliga revisionsrapporten. Det bör läsas tillsammans med kommissionens genomförandeförordning (EU) 2018/574 (2), där de tekniska kraven fastställs för inrättande och drift av spårbarhetssystemet, inbegripet för primära databaser, och kommissionens delegerade förordning (EU) 2018/573 (3), där de centrala delarna fastställs i de avtal för datalagring som ska ingås som en del i ett spårbarhetssystem.

Detta dokument utgör ett verktyg för att bistå auktoriserade revisorer; de är icke-bindande riktlinjer och skapar inte några nya rättsliga skyldigheter. I den utsträckning dessa riktlinjer tolkar lagstiftning påverkar kommissionens ståndpunkt inte eventuella tolkningar av detta direktiv som görs av Europeiska unionens domstol.

2. Allmän bakgrund för revisioner

Varje primär databas, som en tillverkare ingått ett avtal om, är föremål för en årlig revisionsprocess. Om samma tredjepartsleverantör driver två eller flera primära databaser bör det företas en särskild revision av varje databas och lämnas in en särskild revisionsrapport för var och en av dem.

En revision bör omfatta en primär databas och tjänster som är knutna till den, inbegripet en bedömning av huruvida respektive tredjepartsleverantör och, i förekommande fall, dennes underleverantörer uppfyller de relevanta rättsliga krav som anges i direktiv 2014/40/EU, genomförandeförordning (EU) 2018/574 och delegerad förordning (EU) 2018/573.

Varje tillverkare eller importör ska meddela kommissionen namnet på den revisor som den föreslår ska granska dess primära databas och på respektive tredjepartsleverantör. Alla föreslagna revisorer ska godkännas av kommissionen.

3. Revisionens omfattning

Tillämpningsområde och syfte

Revisionsrapporter bör lämnas in för att informera de nationella behöriga myndigheterna och kommissionen om revisorernas iakttagelser, särskilt när det gäller eventuella oriktigheter i samband med åtkomsten till de uppgifter som lagras i de primära databaserna.

Revisionsrapporterna bör innehålla särskilda kapitel för vart och ett av de sex områden som anges nedan. Varje kapitel bör behandla kontrollpunkterna för respektive område, såsom anges i checklistan i bilagan.

Revisioner bör utföras i enlighet med denna checklista, som beskriver de erforderliga områdena och kontrollpunkterna i enlighet med ISO/IEC 27001:2013 om ledningssystem för informationssäkerhet (4). Revisorerna bör därför notera att det i artikel 10 i kommissionens delegerade förordning (EU) 2018/573 hänvisas till ISO/IEC 27001:2013 som den föredragna standarden för informationssäkerhet i samband med drift av primära databaser.

Område Mål Organisatorisk och fysisk säkerhet Upprätta en ram för hantering av informationssäkerhet inom organisationen. Säkerställa att anställda och leverantörer förstår sina ansvarsområden och är lämpade för de funktioner de är tänkta för. Förhindra obehörig fysisk åtkomst till, skada på eller störning av organisationen, inbegripet informations- och informationsbehandlingsanläggningar. Förebygga förlust, skada, stöld eller röjande av tillgångar och avbrott i organisationens verksamhet. Driftssäkerhet Säkerställa korrekt och säker drift av informationsbehandlingsanläggningar. Skydda mot förlust av uppgifter. Registrera händelser och ta fram bevis. Säkerställa driftsystemens integritet. Förhindra att tekniska sårbarheter utnyttjas. Styrning av åtkomst (användare och tillämpningar) Begränsa åtkomsten till information och informationsbehandlingsanläggningar. Säkerställa åtkomst för behöriga användare och förhindra obehörig åtkomst till system och tjänster. Göra användare ansvariga för att skydda sin autentiseringsinformation. Förhindra obehörig åtkomst till system och applikationer. Säkerställa att informationssäkerheten utformas och genomförs under informationssystemens utvecklingsfas. Kommunikationssäkerhet Säkerställa korrekt och effektiv användning av kryptografi i syfte att skydda informationens konfidentialitet, äkthet och/eller integritet. Säkerställa skyddet av information i nätverk och dess stödjande informationsbehandlingsanläggningar. Upprätthålla säkerheten för den information som överförs inom organisationen och inom externa enheter. Verksamhetskontinuitet Säkerställa en konsekvent och effektiv strategi för hantering av informationssäkerhetsincidenter, inbegripet kommunikation om säkerhetsrelaterade händelser och svagheter. Bygga in informationssäkerhetskontinuitet i organisationens system för hantering av verksamhetens kontinuitet. Säkerställa tillgången till informationsbehandlingsanläggningar. Undvika överträdelser av rättsliga, stadgeenliga, föreskrivna eller avtalsmässiga förpliktelser i fråga om informationssäkerhet och av eventuella säkerhetskrav. Tillgångar och dataintegritet Identifiera de organisatoriska tillgångarna och fastställa lämpliga skyddsansvarsområden. Säkerställa att informationen får en lämplig skyddsnivå. Förhindra obehörigt röjande, ändring, avlägsnande eller förstöring av information som lagras på medier.

Slutsatser och rekommendationer

Slutsatserna från en revision bör lämnas för var och en av kontrollpunkterna i checklistan.

I en revisionsrapport bör man endast belysa och redogöra för iakttagelser som rör bristande efterlevnad eller andra konstaterade risker. Iakttagelserna bör också åtföljas av lämpliga rekommendationer som anger vilka åtgärder som krävs för att undanröja de problem och brister som konstaterades under revisionen.

4. Förfarandemässiga aspekter

Frekvens

Revisorer ska lämna in sina revisionsrapporter varje år. Eftersom spårbarhetssystemet togs i drift den 20 maj 2019 uppmanas revisorer att lämna in sina första årliga revisionsrapporter, som omfattar spårbarsystemets första driftsår (dvs. 20 maj 2019–19 maj 2020), senast den 30 november 2020. Därefter uppmanas revisorer att lämna in årsrapporter för efterföljande verksamhetsår senast före utgången av oktober varje kalenderår.

Uppföljning av revisionen

Om det görs en uppföljning för att bedöma om den berörda tredjepartsleverantören har genomfört rekommendationerna i den årliga revisionsrapporten på ett tillfredsställande sätt, uppmanas revisorn att om möjligt lämna in resultaten till kommissionen och de nationella behöriga myndigheterna senast tre månader efter inlämnandet av den årliga revisionsrapporten.

5. Förfarandemässiga aspekter av revisionsrapporter

Information om revisorer

Namn på revisorn eller revisorerna och, i förekommande fall, det eller de revisionsföretag som denne eller dessa är knutna till bör anges i inledningen till revisionsrapporten.

Format

Revisionsrapporten lämnas in i elektroniskt format (sökbar, icke-skyddad pdf).

Revisorerna uppmanas att om möjligt lämna in årsrapporterna till kommissionen på engelska.

Inlämningsförfarande

Den årliga revisionsrapporten och eventuell uppföljning av en sådan rapport bör skickas elektroniskt via e-post till SANTE-TT-SW@ec.europa.eu, med följande text i ärendefältet: ”Audit report [Follow-up to the audit report] for [år] – [Namn på den tillverkare det slutits avtal med] – [Namn på den granskade tredjepartsleverantören]”

Insyn

För att främja insynen och ansvarsskyldigheten i spårbarhetssystemet för tobaksvaror i största allmänhet uppmanar kommissionen tillverkarna att på frivillig basis komma överens med sina respektive revisorer om att även lämna in en offentlig version av sin revisionsrapport till kommissionen, där alla personuppgifter och kommersiellt känsliga uppgifter utelämnas.

Sådana offentliga versioner av revisionsrapporterna kommer att offentliggöras på kommissionens särskilda webbsida.

(1) Europaparlamentets och rådets direktiv 2014/40/EU av den 3 april 2014 om tillnärmning av medlemsstaternas lagar och andra författningar om tillverkning, presentation och försäljning av tobaksvaror och relaterade produkter och om upphävande av direktiv 2001/37/EG (EUT L 127, 29.4.2014, s. 1).

(2) Kommissionens genomförandeförordning (EU) 2018/574 av den 15 december 2017 om tekniska standarder för inrättande och drift av ett spårbarhetssystem för tobaksvaror (EUT L 96, 16.4.2018, s. 7).

(3) Kommissionens delegerade förordning (EU) 2018/573 av den 15 december 2017 om centrala delar i de avtal om datalagring som ska ingås som en del i ett spårbarhetssystem för tobaksvaror (EUT L 96, 16.4.2018, s. 1).

(4) ISO/IEC 27001:2013. Informationsteknik – Säkerhetstekniker – Ledningssystem för informationssäkerhet – Krav. Kraven i ISO/IEC 27001:2013 är allmänna och avsedda att tillämpas på alla organisationer oavsett typ, storlek eller karaktär.