Toelichting bij COM(2009)419 - Jaarverslag aan de kwijtingsautoriteit over de in 2008 uitgevoerde interne controles (Artikel 86, lid 4 van het Financieel Reglement) - Hoofdinhoud
Dit is een beperkte versie
U kijkt naar een beperkte versie van dit dossier in de EU Monitor.
dossier | COM(2009)419 - Jaarverslag aan de kwijtingsautoriteit over de in 2008 uitgevoerde interne controles (Artikel 86, lid 4 van het Financieel ... |
---|---|
bron | COM(2009)419 ![]() ![]() |
datum | 05-08-2009 |
|
52009DC0419
Verslag van de Commissie aan het Europees Parlement en de Raad - Jaarverslag aan de kwijtingsautoriteit over de in 2008 uitgevoerde interne controles (Artikel 86, lid 4 van het Financieel Reglement) {SEC(2009) 1102} /* COM/2009/0419 def. */
[afbeelding - zie origineel document] COMMISSIE VAN DE EUROPESE GEMEENSCHAPPEN
COM(2009) 419 definitief
VERSLAG VAN DE COMMISSIE AAN HET EUROPEES PARLEMENT EN DE RAAD
Jaarverslag aan de kwijtingsautoriteit over de in 2008 uitgevoerde interne controles (Artikel 86, lid 4 van het Financieel Reglement) {SEC(2009) 1102}
Inleiding
3Inhoudsopgave
- Inleiding
- Brussel, 5.8.2009
- INHOUDSOPGAVE
- 2. Werkomgeving en auditplan 3
- 2.1. Werkomgeving 3
- 2.2. Ontwikkelingen in het interne-auditproces 4
- 2.3. Uitvoering van het DIA-auditplan 4
- 2.4. Acceptatie van aanbevelingen en beoordeling door gecontroleerden en belanghebbenden 7
- 3. Belangrijkste bevindingen en aanbevelingen 8
- 4. Conclusies 12
- 2. WERKOMGEVING EN AUDITPLAN
- 2.1. Werkomgeving
- 2.2. Ontwikkelingen in het interne-auditproces
- 2.3. Uitvoering van het DIA-auditplan
- Intern beleid
- Structuurmaatregelen
- Extern beleid
- 2.4. Acceptatie van aanbevelingen en beoordeling door gecontroleerden en belanghebbenden
- Audits Commissie en uitvoerende agentschappen
- Cruciaal
- Totaal
- 3. BELANGRIJKSTE BEVINDINGEN EN AANBEVELINGEN
- Overheidsopdrachten en subsidiebeheer
- Uitvoerende agentschappen
- IT-vraagstukken
- Terugvorderingen en financiële correcties
- PMO (financieel beheer en financiële circuits)
- Beveiliging
- Extern beleid
- Follow-up
- 4. CONCLUSIES
- Conclusie 1: Er is verdere vooruitgang geboekt, maar meer verbeteringen zijn noodzakelijk
- Conclusie 2: IT
- Conclusie 3: Sterk verankerde auditcultuur
Dit verslag is bedoeld om de kwijtingsautoriteit overeenkomstig artikel 86, lid 4, van het Financieel Reglement (FR) te informeren over de door de dienst Interne audit (DIA) van de Commissie verrichte werkzaamheden. Het is gebaseerd op het verslag dat de DIA op grond van artikel 86, lid 3, van het FR, over de belangrijkste controlebevindingen en, in het licht van de professionele normen en standaarden, over aanzienlijke risico's en problemen op het gebied van controle en governance opstelt.
Het voorliggende verslag is gebaseerd op de audit- en consultancyverslagen van de DIA in 2008 i. Het heeft betrekking op de audit- en consultancywerkzaamheden die uitsluitend verband houden met de directoraten-generaal, de diensten en de uitvoerende agentschappen van de Commissie. In dit verslag komen de DIA-werkzaamheden met betrekking tot andere agentschappen of organen niet aan de orde.
De reacties van de Commissie op de bevindingen en conclusies van de interne controleur zijn opgenomen in het syntheseverslag betreffende de jaarlijkse activiteitenverslagen van de directeuren-generaal. In dat tegelijkertijd aangenomen syntheseverslag neemt de Commissie een standpunt in over de horizontale kwesties die aan de orde worden gesteld door de interne controleur, de Europese Rekenkamer en de kwijtingsautoriteit of waarop de vinger wordt gelegd door het Comité follow-up audit en door de directeur-generaal Begroting in zijn overzichtsverslag.
De herziene internecontrolenormen werden begin 2008 van kracht. De DG's werden verzocht de normen te selecteren waaraan zij prioriteit wensen toe te kennen om de doeltreffendheid ervan te kunnen aantonen. Om de directeuren-generaal te helpen bij het uitvoeren van deze opdracht, heeft DG BUDG op verzoek van verscheidene DG's richtsnoeren opgesteld met betrekking tot de beoordeling van de doeltreffendheid van de internecontrolesystemen.
DG BUDG heeft het huidige risicobeheer van de Commissie, dat inmiddels drie jaar en twee maanden van kracht is, geëvalueerd.
Er werden (door het SG en DG BUDG) wijzigingen aangebracht in de vaste instructies voor het opstellen van de jaarlijkse activiteitenverslagen, in het bijzonder met betrekking tot de werking en de effectieve tenuitvoerlegging van de internecontrolenormen en de melding van reputatierisico's.
In maart 2008 heeft de Commissie een reeks maatregelen goedgekeurd die op het vlak van de ethiek dienen te worden genomen, met inbegrip van een breed overleg in alle DG's over de ontwerpbeginselverklaring inzake beroepsethiek en de aanstelling van een contactpersoon voor ethische kwesties in elke DG.
De DIA kon blijven rekenen op de volledige steun van het college en het Comité follow-up audit, waardoor de DIA zijn opdrachten onafhankelijk en objectief kon blijven uitoefenen.
De externe kwaliteitsbeoordeling van de DIA is in juli 2008 afgerond. Hierin werd bevestigd dat de binnen de Commissie uitgevoerde auditactiviteiten van de DIA doorgaans voldoen aan de normen en de gedragscode van het Institute of Internal Auditors (IIA). Hierna zijn maatregelen genomen, waaronder bezinning op een specifiekere afbakening van de auditomgeving, een kwantitatieve beschrijving van het werkterrein van de auditdienst, intensivering van de planning en risicobeoordeling ten gunste van de 'single audit', alsook de oprichting van een gebruikersgroep, die het model voor interne-auditverslagen heeft herzien.
Om middelen vrij te maken voor extra audits en de dekkingsgraad uit te breiden, spitst een nieuwe follow-upstrategie zich inmiddels toe op een meer op risicoanalyse gebaseerde aanpak die uitsluitend gericht is op sectoren met een hoog risico en waarbij de aandacht uitgaat naar de uitvoering van de als 'cruciaal' of 'zeer belangrijk' omschreven aanbevelingen.
In samenwerking met de DIA, Auditnet en DG ADMIN is een volwaardig opleidingsprogramma voor interne auditors opgesteld. Door het volgen van dit programma kunnen alle interne auditors in de Commissie – overeenkomstig het kader voor beroepspraktijken van het IIA – in een periode van twee tot drie jaar de vereiste vaardigheden ontwikkelen, zodat zij degelijk voorbereid de door het IIA georganiseerde certificatieproeven kunnen afleggen.
Het strategische auditplan voor de periode 2007-2009 van de DIA's, dat in nauwe samenwerking met de interne-auditfuncties is opgesteld, werd bijgewerkt.
In totaal is 89% van het werkprogramma 2008 uitgevoerd, inclusief 100% van de 'C1'-verbintenissen (die volgens het door het Comité follow-up audit goedgekeurde auditplan tegen einde 2008 voltooid dienden te zijn): 93 verslagen (36 auditverslagen, 51 follow-upverslagen, 2 evaluaties, 1 consultancyverslag en 3 management letters) werden in 2008 afgerond i. Samenvattingen van deze verslagen zijn in de bijlage opgenomen, samen met nadere gegevens over de aanvaardingspercentages en – in voorkomend geval – de tenuitvoerlegging van de aanbevelingen.
Lijst van afgeronde DIA-verslagen
DG Verbintenis Datum van het document (2008 tenzij anders vermeld)
Administratieve en andere ondersteuningssystemen
ESTAT Follow-up lokaal IT-management* 26.
EPSO Ondersteuning zelfevaluatie van een voorgesteld organigram 9.
ECFIN Uitvoering van geselecteerde internecontrolenormen in DG ECFIN* 11.
OPOCE Overheidsopdrachten* 7.
OIL Evaluatie van geselecteerde internecontrolenormen 19.
ECFIN Follow-up lokaal IT-management in DG ECFIN* 27.
PMO Dienstreizen 11.
BUDG, LS, AIDCO, EAC, INFSO, EACEA Terugvorderingen 7.
DIGIT Netwerkinfrastructuur en diensten voor bedrijfsgegevens 17.
SCIC Follow-up financieel beheer en overheidsopdrachten 3.
ADMIN Toezicht beveiliging beheerd door ADMIN-DS 11.
LS Lokale IT 11.
ADMIN, OIB, INFSO, RTD, SG, TRADE Ethiek in de Commissie 12.
DGT Follow-up vraagbeheer voor vertalingen 17.
BUDG Management letter over ethiek in de Commissie 19.
SG, BUDG, ADMIN, DIGIT Management letter over IT-aankopen en levering van diensten binnen de Commissie 19.
PMO Follow-up over de regelmatigheid van het financieel beheer en implementatie van financiële circuits 22.
ADMIN, AGRI, AIDCO, BUDG, COMM, COMP, DEV, EAC, ECFIN, ECHO, ELARG, EMPL, ENV, ESTAT, INFSO, JLS, JRC, LS, MARE, MARKT, OLAF, OPOCE, REGIO, RELEX, RTD, SANCO, SG, TAXUD, TRADE Follow-up van DIA-validatie van zelfevaluatie van de interne-auditfunctie Verscheidene data
OLAF Antifraude-informatiesysteem (AFIS) 21.1.
OIB Follow-up van de evaluatie van geselecteerde internecontrolenormen 22.1.
OIB Follow-up van beheer van overheidsopdrachten 23.1.
PHEA Uitvoerend agentschap voor het volksgezondheidsprogramma (PHEA) 24.
INFSO Beheer van onderzoeksinformatiesystemen 31.
SANCO Follow-up van de effectiviteit en efficiëntie van de SPP/ABM-cyclus 1.
TREN Follow-up van de effectiviteit en efficiëntie van de SPP/ABM-cyclus 11.
EACI Follow-up van de EACI 18.
RTD Beheer van systemen voor het opzoeken van informatie 22.
EAC Tweede follow-up van de grondige audit 25.
RTD, INFSO, TREN, ENTR, DIGIT Management letter over KP7 IT-beheer tussen de DG's 26.
COMP Follow-up van de effectiviteit en efficiëntie van de SPP/ABM-cyclus en activiteitengestuurd beheer (ABM) 29.
MARKT Follow-up lokaal IT-beheersproces 17.
ENV CITL-beheer in DG ENV* 10.
JLS Follow-up IT-beheer 14.
JLS Subsidies onder gedeeld beheer van het Europees Vluchtelingenfonds 4.
COMP Inning van geldboeten 13.
JLS IT-aankopen 17.
INFSO Follow-up van controles achteraf (2006) 8.
EACEA Subsidiebeheer, toekenning en verlening 11.
RTD Follow-up ex-post controles (2006) en financiële circuits en financieel beheer (2007) 11.
TREN-TEN-T Audit van het TREN-TEN-T uitvoerend agentschap 16.
SANCO Follow-up grootschalige IT-systemen 21.1.
SANCO Subsidiebeheer voor activiteiten op het gebied van voedselveiligheid, diergezondheid, dierenwelzijn en plantengezondheid 30.1.
REGIO Evaluatie van de financiële correcties en terugvorderingen op het gebied van de Structuurfondsen 14.
EMPL Evaluatie van de financiële correcties en terugvorderingen op het gebied van de Structuurfondsen 14.
REGIO Intern controlesysteem voor het beheer van de nieuwe programmeringsperiode van de structuurfondsen - fase I 19.
EMPL Intern controlesysteem voor het beheer van de nieuwe programmeringsperiode van de structuurfondsen - fase I 19.
REGIO Follow-up financiële correcties in verband met het Cohesiefonds (2006) 12.
AIDCO Tweede follow-up van de grondige audit 20.
AIDCO Procedures financieel beheer van directoraat C met betrekking tot de gedecentraliseerde delegaties** 30.
AIDCO Financieel beheer van regionale projecten 18.
ELARG Follow-up van controles vooraf 18.
ELARG Implementatiebeoordeling / geleidelijke invoering van delegaties in de Balkan 17.
AIDCO Financieel beheer van de belangrijkste programma's in directoraat B 22.
AIDCO, ECHO Follow-up van implementatie FAFA 22.1.
RELEX Follow-up van controles achteraf 23.1.
*Gezamenlijke audit/follow-up met de interne-auditfunctie (IAF) van het desbetreffende DG
** Audit uitgevoerd door de IAF van DG AIDCO in samenwerking met de DIA.
In 2008 werd 99,4% van de auditaanbevelingen door de gecontroleerden aanvaard.
Aanbevelingen Aanvaard Afgewezen % Totaal
Zeer belangrijk
Belangrijk
Wenselijk
% 99, 0,
De gemiddelde waardering van de gecontroleerden voor de inhoud en uitvoering van de audits bedroeg 1,74 (in 2006 en 2007 was dit respectievelijk 1,95 en 1,86) op een schaal van 1 (hoogste waardering) tot 4 (laagste). Een begin 2009 onder alle betrokkenen gehouden nieuwe enquête leerde dat volgens 90,8% de DIA een duidelijke controlestrategie volgde, volgens 83,1% de controles eerlijk, objectief en billijk verliepen en dat volgens 61,5% de DIA-aanbevelingen bruikbaar en nuttig waren, terwijl 86,2% van oordeel was dat de werkzaamheden van de DIA bijdragen tot de kwaliteit van de beheers- en controlesystemen in de Commissie.
Ethiek
Uit een audit over het ethisch kader van de Commissie bij twee horizontale en vier operationele DG's bleek dat dit kader redelijk solide en volledig is en dat de gecontroleerde DG's recentelijk een aantal extra maatregelen hadden genomen om de bewustmaking te vergroten en het ethisch kader te verbeteren, of dergelijke maatregelen aan het uitvoeren waren.
In de audit is vastgesteld dat een verdere verduidelijking van de bestaande regels noodzakelijk is, inclusief inzake geschenken, gastvrijheid en het melden van belangenconflicten, ondersteund door richtsnoeren van de centrale DG's en een intensiever toezicht op de tenuitvoerlegging.
De bewustmaking van alle personeelsleden van hun verplichtingen, zowel nu als na hun diensttijd bij de Commissie, en de bekendmaking van de handhavingsmaatregelen worden voortdurend verbeterd.
De reeks audits betreffende IT-overheidsopdrachten en dienstverlening werd afgerond met een audit in een operationeel DG en een management letter over IT-overheidsopdrachten en dienstverlening.
De verbeteringen spitsten zich toe op de volgende punten: versterking van het centraal beheer om ondersteuning en richtsnoeren te verstrekken, nauwere coördinatie op het niveau van de Commissie voor een optimale vaststelling van de prioriteiten en de beste prijs/kwaliteitverhouding, en grotere betrokkenheid van de leidinggevenden van het DG bij het ontwikkelen van en het toezien op de uitvoering van toeleveringsstrategieën.
Naast de verslagen over de IT-overheidsopdrachten werden de processen voor het beheer van overheidsopdrachten en/of subsidies behandeld in twee follow-upaudits en drie nieuwe audits. In deze audits werd onder meer aandacht besteed aan het vraagstuk van een beperkt aantal contractanten (zoals bij IT-overheidsopdrachten), dat middels een formele uitbestedingsstrategie zou kunnen worden verminderd. Er ontbrak een geconsolideerde handleiding voor aanbestedingen, een algemeen beheersinformatiesysteem en een geïntegreerde alomvattende controlestrategie voor fondsen; ook was er behoefte aan een betere taakomschrijving en technische specificaties, aan adequatere controle op en verslaglegging over contracten, alsmede aan een beter beheer van de werklast.
Aangezien het aantaal uitvoerende agentschappen blijft toenemen, is er steeds meer aandacht voor de betrokken controle- en auditvraagstukken.
In 2008 werden vier audits van uitvoerende agentschappen afgerond, die betrekking hadden op de interne controle, beheer, toekenning en verlening van subsidies, de huishoudelijke begroting of terugvorderingen i. Hoewel de algemene resultaten vrij behoorlijk waren, werden de vaststellingen grotendeels beïnvloed door het feit dat langdurige aanloopfase van de agentschappen tot gevolg had gehad dat zich op aantal punten tekortkomingen hadden voorgedaan: de niet-naleving van het Financieel Reglement voor uitvoerende agentschappen (bv. het zogenaamde twee-paar-ogenprincipe) of van de rechtsgrondslag (samenstelling van de stuurgroep, bekendmaking van de begrotingen en voldoen aan internationale boekhoudkundige normen), de niet-overdracht van vaste activa van het moeder-DG naar het uitvoerend agentschap en de noodzaak om de procedures van het moeder-DG te stroomlijnen en harmoniseren.
De uitgebreide auditwerkzaamheden van IT-aangelegenheden (met uitzondering van de overheidsopdrachten) werden voortgezet met een management letter, zes auditverslagen en vijf follow-upverslagen.
Vijf follow-upverslagen over lokaal IT-beheer werden afgerond. In drie gevallen waren de overeenkomstige actieplannen bijna volledig uitgevoerd. In één geval had bijna de helft van de maatregelen in het actieplan vertraging opgelopen, en in een ander werd een derde van de aanbevelingen nog steeds ten uitvoer gelegd.
In twee nieuwe verslagen kwam het beheer van onderzoeksinformatiesystemen aan de orde. In een van de verslagen werd geconcludeerd dat met name wegens het ontbreken van geharmoniseerde bedrijfsprocessen er geen redelijke zekerheid kon worden gegeven met betrekking tot de gecontroleerde processen. Tot de courante risico's behoorden vertragingen bij uitvoering projecten, mogelijke onbeschikbaarheid van systemen, het feit dat verschillende IT-modules niet werkten, en veiligheidskwesties zoals de ontoereikende bescherming van IT-activa en het ontbreken van controles om de logische en materiële beveiliging van IT-activa te waarborgen. Beide audits resulteerden in meer systemische overwegingen, waarmee de desbetreffende DG's rekening houden met voor de taakuitbreiding van de gemeenschappelijke stuurgroep voor IT-projecten, teneinde toezicht te kunnen houden op alle gemeenschappelijke en gedeelde IT-systemen en -projecten van de directoraten-generaal onderzoek, en voor de ontwikkeling van een IT-architectuur die de samenhang van bedrijfsprocessen en de interoperabiliteit van IT-systemen waarborgt.
De netwerkinfrastructuur voor bedrijfsgegevens is een van de zeven algemene IT-diensten die als cruciaal worden beschouwd voor de volledige Commissie in het kader van bedrijfscontinuïteitsplannen. Redelijke zekerheid kon worden gegeven over de werking van het netwerk voor bedrijfsgegevens. Verbeteringen zijn echter geboden op het vlak van het netwerkbeheer (door versterking van het beheer van netwerkconfiguratiewijzigingen en het ter beschikking stellen van een uitvoerige lijst van diensten die aan de gebruikers wordt aangeboden) en de logische beveiligingsvoorzieningen (onder meer door centrale beveiligingsnormen en richtsnoeren vast te stellen, die de beveiliging van het systeem en een continue dienstverlening moeten garanderen). Bij de audit kwamen governance-vraagstukken aan de orde die betrekking hadden op het beveiligingskader van de informatiesystemen en die het gevolg waren van aanzienlijke vertragingen bij het opstellen van uitvoeringsbepalingen en de daadwerkelijke uitvoering van bepaalde beveiligingsmaatregelen. Om deze kwestie op te lossen werd in de audit met name aanbevolen de taakverdeling tussen ADMIN/S en DIGIT met betrekking tot IT-beveiliging nader te verduidelijken en nauwe, gestructureerde samenwerking tot stand te brengen tussen ADMIN/S en DIGIT voor de ontwikkeling van IT-beveiligingsnormen, op basis van de beschikbare deskundigheid.
Een auditopdracht in twee horizontale en vier operationele DG's was toespitst op het terugvorderingsbeheer van in het kader van het centraal beheer ten onrechte uitgekeerde bedragen i. Er werden aanbevelingen gedaan voor elke fase van de terugvordering: in verscheidene operationele DG's is er behoefte aan betere monitoringinstrumenten om meer gedetailleerde en actuele informatie te verstrekken voor het opsporen van ten onrechte uitgekeerde bedragen; ontvangstenramingen moeten systematischer worden gepubliceerd en opgevolgd om ervoor te zorgen dat alle invorderingsopdrachten worden afgegeven, samen met een strikt toezicht op de termijnen voor de afgifte van vooraankondigingen en invorderingsopdrachten, en de vertragingen bij de terugvordering moeten worden bekort door meer systematisch toezicht. Bij één uitvoerend agentschap dat in dit kader werd gecontroleerd, werd de aandacht gevestigd op een specifieke kwestie: aangezien uitvoerende agentschappen een eigen rechtspersoonlijkheid hebben en dus beschikken over eigen juridische eenheden, is de Commissie niet verantwoordelijk wanneer een invorderingsopdracht door een agentschap wordt afgegeven of een besluit dat de grondslag vormt voor de invorderingsopdracht door de contractant wordt betwist. In sommige gevallen is er een risico van ondoeltreffende terugvordering van ten onrechte uitgekeerde bedragen. Indien er geen wettelijke beperkingen zijn, kan dit risico worden verkleind door het afsluiten van een overeenkomst inzake dienstverleningsniveau (SLA) tussen de uitvoerende agentschappen en de juridische dienst van de Commissie, waarbij de voorwaarden worden vastgesteld waaronder de juridische dienst in het kader van een terugvordering de agentschappen juridische bijstand verleent.
In twee evaluaties kwamen de financiële correcties en terugvorderingen op het gebied van de Structuurfondsen aan de orde. De DG's die verantwoordelijk zijn voor de Structuurfondsen hebben grote inspanningen geleverd om de in het actieplan vastgelegde maatregelen binnen de gevraagde termijnen uit te voeren. De DIA is zich bewust van de complexiteit van de financiële correcties op het niveau van de Commissie en met betrekking tot de rapportage door de lidstaten. In de rapporten wordt er onder meer op gewezen dat er behoefte is aan een geharmoniseerde benadering totdat rekenschap is afgelegd over de ontvangstenramingen en de procedure voor kwartaalverslagen aan DG BUDG over financiële correcties. Overzichten van alle op stapel staande mogelijke financiële correcties en de tijdigheid van audits betreffende financiële correcties zullen de toezichtcapaciteit van de Commissie aanzienlijk versterken.
In een audit over de invordering van geldboeten bleek dat er zich op het vlak van de doeltreffendheid van het invorderingsproces geen belangrijke tekortkomingen voordoen.
In een follow-upaudit van de financiële circuits en het financieel beheer in PMO werd geconcludeerd dat de aanbevelingen niet op een passende en doeltreffende wijze ten uitvoer waren gelegd. Dit was deels het gevolg van de moeilijkheden bij de tenuitvoerlegging van het nieuwe IT-systeem voor het beheer van de loopbanen, rechten en salarissen (SYSPER2, IRIS en NAP). Aandacht diende te worden besteed aan volgende punten: de kwaliteit (nauwkeurigheid en volledigheid) van de persoonlijke gegevens, de interoperabiliteit van de desbetreffende systemen en de noodzaak om alle vereiste documenten met betrekking tot personen in één enkel algemeen informatiesysteem onder te brengen. Andere openstaande aanbevelingen hebben betrekking op de noodzakelijke versterking van de operationele controles en de controles achteraf, alsook van het beheer van de personeelsdossiers, een bijgewerkte tabel van de gesubdelegeerde verantwoordelijkheden, documentatieprocedures en controlelijsten en bijgewerkte functiebeschrijvingen.
Voor het beheer van de betaling van reisvergoedingen werd in de audit aanbevolen om het systeem van controles vooraf te verbeteren, om het aantal fouten te verminderen en opleidingsinspanningen voor rekenplichtigen te vergroten om foutieve of dubbele vergoeding te voorkomen. Het management van PMO heeft een actieplan opgesteld om deze kwesties aan te pakken.
In een DIA-audit over het toezicht op de beveiliging in de Commissie, zoals beheerd door het directoraat Beveiliging in DG ADMIN, werd een aantal aanbevelingen gedaan. Deze hadden onder meer op volgende punten betrekking: de noodzakelijke verbetering van het regelgevingskader en de bilaterale overeenkomsten, afbakening van de opdrachten en verantwoordelijkheden van de lokale veiligheidsbeambten, het autorisatieproces van de beveiliging, de systematische rapportage over de stand van zaken inzake beveiliging binnen de Commissie in haar geheel en beveiligingsvoorschriften voor de bescherming van gevoelige niet-vertrouwelijke gegevens. De resultaten van deze audit zullen worden opgenomen in een managementtoetsing van het veiligheidsbeleid binnen de Commissie.
Uit de follow-upverslagen over het extern beleid bleek dat de Commissie bijzondere aandacht diende te besteden aan de tenuitvoerlegging van eerdere aanbevelingen op dit terrein i.
Uit de follow-upaudit van de financiële en administratieve kaderovereenkomst (FAFA) bleek dat belangrijke resultaten het mogelijk hadden gemaakt vijf van de acht aanbevelingen op te volgen. Er hebben zich evenwel enkele vertragingen bij de uitvoering voorgedaan, met name bij de niet-opgevolgde aanbeveling om nadere middelen vast te stellen om zekerheid van de VN te verkrijgen.
Drie nieuwe audits i over het extern beleid werden voltooid, waarvan er twee een gedeeltelijk negatief auditoordeel kregen. In het geval van de audit over het beheer van regionale projecten was dit het gevolg van belangrijke opmerkingen over het secretariaat van de Ontwikkelingsgemeenschap van zuidelijk Afrika (SADC), in samenhang met de situatie van de delegatie van de Commissie in Botswana. Andere kwesties die aan de orde kwamen, waren het acute personeelstekort, de lange aanloopfase van projecten, het ontbreken van gestroomlijnde EOF- (Europees Ontwikkelingsfonds) en SADC-procedures, de beperkte integratie van nationale en regionale onderdelen en meer in het algemeen controle-instrumenten die versterkt moeten worden voor gemeenschappelijk beheer met betrekking tot regionale ACS-organisaties. Voor de audit over het financieel beheer van het programma voor Latijns-Amerika had het onderdeel dat in het auditadvies als ontoereikend werd beschouwd – hetgeen door de gecontroleerde wordt betwist – betrekking op tekortkomingen die waren vastgesteld onder gedecentraliseerd beheer in delegaties in Latijns-Amerika: ontoereikende beoordeling vooraf van de naleving van het Financieel Reglement en andere tekortkomingen die aanzienlijke beperkingen met zich brengen voor de zekerheid die van cruciale controle-elementen wordt verwacht (bv. toereikend project- en portfoliotoezicht en geringe kwaliteit van verplichte projectaudits).
Ondanks de nieuwe, meer risicogerichte follow-upstrategie heeft een aanzienlijk deel van de auditwerkzaamheden nog steeds betrekking op follow-ups. Een belangrijke activiteit van de follow-up van de externe kwaliteitsbeoordeling van de interne-auditfuncties van 2007. Het resultaat was in het algemeen positief. Bij een zeer grote meerderheid van de interne-auditfuncties (26 van de 29) hoefden niet meer dan twee aanbevelingen nog te worden voltooid of gedeeltelijk ten uitvoer te worden gelegd.
In de resterende follow-upaudits waren er elf gevallen (met betrekking tot AIDCO, EAC, ECFIN, ELARG, OIB, PMO, RELEX, RTD en SANCO) waarbij meer dan één aanbeveling nog niet ten uitvoer was gelegd. In vijf van deze gevallen (met betrekking tot OIB, PMO, AIDCO/ECHO en ELARG) was de bij de tenuitvoerlegging geboekte vooruitgang duidelijk ontoereikend, waarbij meer dan de helft van de aanbevelingen nog niet ten uitvoer was gelegd.
Tweemaal per jaar wordt een meer gedetailleerd verslag naar het Comité follow-up audit gestuurd. Het Comité stelde vast dat de uitvoering van 29% van de aanbevelingen (twee van de drie cruciale aanbevelingen en 41 van de 147 zeer belangrijke aanbevelingen) meer dan zes maanden te laat was (een jaar geleden was dit 25% - met 7 van de 14 cruciale en 37 van de 138 zeer belangrijke aanbevelingen).
Uit de in 2008 afgesloten audits en evaluaties betreffende de Commissie en hiermee verband houdende werkzaamheden kunnen de navolgende conclusies worden getrokken.
Bij haar audit-, controle- en consultancywerkzaamheden stelde de DIA vast dat verdere verbeteringen zijn aangebracht in de internecontrolesystemen van de Commissie. In 2007 werden zes cruciale aanbevelingen gegeven, in 2008 geen enkele. Het aantal adviezen met een negatief oordeel of gedeeltelijk negatief oordeel in de nieuwe auditverslagen daalde van zes in 2007 tot vier in 2008. Verdere verbeteringen zijn niettemin geboden.
Verscheidene aspecten van het financieel beheer zijn bijvoorbeeld nog steeds voor verbetering vatbaar:
- Aanzienlijke vooruitgang werd geboekt wat betreft de volledigheid en samenhang van de statistieken van de Commissie met betrekking tot invordering/financiële correcties. Zo hebben DG REGIO en DG EMPL in samenwerking met DG BUDG een overzichtstabel opgesteld met financiële correcties (reeds opgesteld of in voorbereiding): hierdoor zal het controlespoor van de meerjarige controles bij gedeeld beheer aanzienlijk worden versterkt. Bij het centraal beheer is een achterstand bij de behandeling van invorderingsopdrachten vastgesteld. Derhalve moeten de interne invorderingsprocedures vereenvoudigd en verkort worden.
- Er moet opnieuw worden nagegaan of het aangewezen is de materialiteitsdrempel van 2% over de hele linie toe te passen voor zowel standaard financiële transacties als bepaalde bijzonder complexe of zeer gevoelige projecten. Het voorgestelde begrip van 'aanvaardbaar foutenrisico' – als en wanneer het door de Raad en het Parlement wordt goedgekeurd – zou geschikter zijn en zou er in de toekomst toe moeten bijdragen dat op bepaalde terreinen meer redelijke zekerheid over financieel beheer kan worden bereikt.
- Er werd op gewezen dat er grondig moet worden toegezien op de procedures voor overheidsopdrachten, met name indien grote onderdelen van de uitbestede activiteiten aan een beperkt aantal inschrijvers worden toegewezen, waardoor de Commissie aan risico's van marktconcentratie is blootgesteld.
Wat beveiliging betreft, is er aanzienlijke vooruitgang geboekt. Follow-upaudits hebben bevestigd dat de problemen bij het waarborgen dat de relevante delegaties van de Commissie naar behoren zijn uitgerust om vertrouwelijke EU-gegevens te behandelen thans zijn opgelost. De vaststellingen van de audits hebben ook bijgedragen tot de algemene herziening van het veiligheidsbeleid van de Commissie, die in 2008 plaatsvond.
Er dient continu aandacht te worden geschonken aan ethische standaards. In de loop van het jaar zijn er vanuit zowel de DG's als het centrale niveau initiatieven genomen om het ethisch kader van de Commissie te versterken en het personeel hiervan bewust te maken. De DIA heeft nog geen auditadvies opgesteld over het ethisch kader van de Commissie, maar zal tot einde 2010 een actieschema volgen.
De tijdige uitvoering door de diensten van de Commissie van cruciale en zeer belangrijke aanbevelingen is een blijvende uitdaging. Het Comité follow-up audit, dat door de DIA wordt bijgestaan, vraagt de DG's om rekenschap af te leggen over de uitvoering van hun actieplannen. Het Comité follow-up audit zendt de voor de betrokken portefeuilles bevoegde commissarissen herinneringsbrieven toe, die meestal niet zonder resultaat blijven en resulteren in een verbetering van de follow-up en een vlottere nieuwe beoordeling van de restrisico's.
Uit de uitgebreide auditwerkzaamheden op IT-gebied bleek dat een doeltreffende en efficiënte IT-omgeving belangrijk is voor de succesvolle tenuitvoerlegging van het beleid van de Commissie. Grotere inspanningen om eerdere aanbevelingen op te volgen, een geïntegreerde systeembenadering om een continu overzicht te krijgen van alle IT-ontwikkelingen en brede beveiligingsregelingen om onder andere bedrijfscontinuïteit te waarborgen, lijken steeds belangrijker te worden. Een beter beheer van de projecten en van de projectbeheerders zijn ook belangrijke succesfactoren.
Uit de tweede externe kwaliteitsbeoordeling van de DIA bleek dat de dienst volledig voldoet aan de internationale deontologische regels voor interne controleurs. De DIA bevordert op een geïntegreerde en aanvaarde manier positieve veranderingen binnen de Commissie en bestrijkt samen met de interne-auditfuncties alle in het strategische auditplan 2007-2009 vastgestelde risico's.
Het DIA-auditplan is grotendeels gericht op financieel beheer, maar heeft ook betrekking op andere terreinen zoals governance (bv. ethiek), IT, beveiliging en werking (bv. tenuitvoerlegging van het Gemeenschapsrecht). Zoals hierboven is uiteengezet, zorgen de auditwerkzaamheden van de DIA ervoor dat de aandacht wordt gevestigd op risico's en op mogelijkheden het beheer daarvan te verbeteren: derhalve is het van belang dat er binnen de Commissie aandacht besteed blijft worden aan de controle van niet-financiële risico's.