| CELEX | 52021DC0292 |
| Type | Acte préparatoire |
| Date | mardi 8 juin 2021 |
COMMISSION EUROPÉENNE
Bruxelles, le 8.6.2021
COM(2021) 292 final
RAPPORT DE LA COMMISSION
AU PARLEMENT EUROPÉEN, AU CONSEIL ET À LA COUR DES COMPTES
Rapport annuel à l’autorité de décharge concernant les audits internes réalisés en 2020
{SWD(2021) 132 final}
Table des matières
1.Objectifs et champ d’application du rapport
2.Mission du service d’audit interne: responsabilité, indépendance et objectivité
3.Vue d’ensemble des travaux d’audit
3.1.Mise en œuvre du plan d’audit 2020
3.2.Données statistiques sur les recommandations du service d’audit interne
4.Conclusions fondées sur les travaux d’audit effectués en 2020
4.1.Conclusion sur les audits de performance
4.1.1.Gestion des données et de l’information
4.1.2.Protection des données
4.1.3.Stratégies de supervision pour la mise en œuvre de programmes par des tiers
4.1.4.Stratégies de contrôle pour certains services et directions générales
4.1.5.Processus de gestion des ressources humaines
4.1.6.Examens évaluant la mise en œuvre du nouveau cadre de contrôle interne de la Commission
4.1.7.Autres processus
4.2.Conclusions limitées du service d’audit interne
4.3.Opinion globale sur la gestion financière de la Commission
5.Consultation de l’instance de la Commission spécialisée en matière d’irrégularités financières
6.Mesures d’atténuation des conflits d’intérêts potentiels (normes internationales en matière d’audit interne) - Enquête de la Médiatrice européenne
1.Objectifs et champ d’application du rapport
Le présent rapport vise à informer le Parlement européen et le Conseil, dans le cadre de la procédure de décharge, des audits internes effectués en 2020 par le service d’audit interne de la Commission européenne dans les directions générales, les services et les agences exécutives de la Commission 1 . Il comprend: i) un résumé du nombre et du type d’audits internes effectués; ii) une synthèse des recommandations formulées; et iii) les suites données à ces recommandations. Conformément à l’article 118, paragraphe 8, et à l’article 247 du règlement financier 2 , la Commission transmet ce rapport au Parlement européen et au Conseil. Il a pour fondement le rapport établi conformément à l’article 118, paragraphe 4, du règlement financier par l’auditeur interne de la Commission concernant les rapports d’audit et de conseil établis par le service d’audit interne en 2020 3 .
2.Mission du service d’audit interne: responsabilité, indépendance et objectivité
La mission du service d’audit interne consiste à améliorer et à protéger la valeur de l’organisation en fournissant une assurance objective et fondée sur les risques, des conseils et des informations. Le service d’audit interne aide la Commission à atteindre ses objectifs par une approche systématique et méthodique pour l’évaluation de ses processus de gestion des risques, de contrôle et de gouvernance et l’amélioration de leur efficacité. Ses tâches consistent notamment à évaluer les processus de gestion des risques, de contrôle et de gouvernance et à formuler des recommandations adéquates pour les améliorer afin de réaliser les trois objectifs suivants: i) promouvoir une éthique et des valeurs appropriées au sein de l’organisation; ii) veiller à une gestion et à une responsabilisation effectives dans l’organisation; et iii) assurer la bonne transmission de l’information sur les risques et le contrôle aux secteurs intéressés de l’organisation. Ce faisant, le service d’audit interne vise à promouvoir une culture de gestion efficiente et efficace au sein de la Commission et de ses services.
L’indépendance du service d’audit interne dans l’exécution de ses travaux est inscrite dans le règlement financier et dans sa charte de mission 4 adoptée par la Commission. Cette charte prévoit que, pour garantir l’objectivité de leur jugement et éviter les conflits d’intérêts, les auditeurs du service d’audit interne doivent préserver leur indépendance par rapport aux activités et opérations qu’ils examinent. Si leur objectivité est compromise dans les faits ou même en apparence, les parties concernées doivent en être informées de façon précise. Si l’auditeur interne le juge nécessaire, il peut saisir directement le président de la Commission et/ou le collège.
Le service d’audit interne effectue ses travaux dans le respect du règlement financier, des normes internationales pour la pratique professionnelle de l’audit interne et du code de déontologie de l’Institut des auditeurs internes.
Sur le plan fonctionnel, le service d’audit interne rend compte et fait rapport au comité de suivi des audits. Le service d’audit interne: i) fait état au comité de suivi des audits des principaux problèmes soulevés par ses audits et des améliorations possibles aux processus audités; ii) rend chaque année une opinion globale sur la situation de la gestion financière à la Commission; et iii) présente un rapport (au moins une fois par an) sur sa mission et sur l’exécution de son plan d’audit annuel. Ce rapport porte sur les expositions aux risques importants, les questions de contrôle, les questions de gouvernance d'entreprise, ainsi que sur d’autres aspects.
Le comité de suivi des audits assiste le collège des commissaires dans l’exécution des obligations qui lui incombent en vertu des traités, du règlement financier et d’autres instruments statutaires, i) en veillant à l’indépendance du service d’audit interne, ii) en contrôlant la qualité des travaux d’audit interne, et iii) en veillant à ce que les recommandations d’audit interne et externe soient dûment prises en compte par les services de la Commission et iv) à ce qu’il y soit donné suite de manière appropriée. De cette manière, le comité de suivi des audits aide la Commission à atteindre ses objectifs de manière plus efficace et plus efficiente. Il facilite également la surveillance, par le collège, des pratiques de la Commission en matière de gouvernance, de gestion des risques et de contrôle interne 5 .
Les audits du service d’audit interne ne portent pas sur les systèmes de contrôle des États membres concernant les fonds de l’UE. Les audits de ce type, qui s’effectuent à l’échelon des bénéficiaires individuels, sont menés par les services d’audit internes des États membres, les autorités d’audit nationales, d’autres directions générales de la Commission ainsi que la Cour des comptes européenne. Le service d’audit interne procède toutefois à l’audit des mesures prises par la Commission pour superviser et contrôler i) les entités dans les États membres ainsi que ii) les autres organisations chargées de décaisser des fonds de l’UE, telles que les Nations unies. Comme le prévoit le règlement financier, le service d’audit interne peut mener à bien ses missions sur place, y compris dans les États membres.
3.Vue d’ensemble des travaux d’audit
3.1.Mise en œuvre du plan d’audit 2020
Le service d’audit interne a mis en œuvre le plan d’audit 2020 dans le contexte de la pandémie de COVID-19 et des dispositifs de continuité des activités en place à partir de la mi-mars 2020, conformément aux dispositions prises par la Commission au niveau institutionnel. Malgré les difficultés soulevées par les circonstances exceptionnelles de 2020, le service d’audit interne a achevé 137 «missions» (audits, consultations, suivis et examens), ainsi qu’une évaluation des risques 6 , et a publié 140 rapports (y compris des notes de suivi et une lettre de recommandation). Pour atteindre cet objectif, il a utilisé les possibilités offertes par la numérisation à la Commission, grâce à des outils soutenant des processus d’audit à distance efficients et efficaces.
Les graphiques ci-dessous présentent une ventilation des types de missions et de rapports réalisés. À la date butoir du 31 janvier 2021, 95 % du plan d’audit 2020 actualisé avait été mis en œuvre (soit 100 % des missions de type assurance prévues pour 2020, tandis que la finalisation de 2 missions de conseil avait fait l’objet d’un changement de priorité et avait été reportée à 2021). Ce plan d’audit comprenait les audits au sein des agences exécutives et des services de la Commission 7 .
Le plan 2020 initial prévoyait 43 missions d’audit (audits, examens et missions de conseil, à l’exclusion des suivis) qui devaient être finalisées à la date butoir du 31 janvier 2021. Le plan contenait 37 missions supplémentaires qui devaient commencer avant le 31 janvier 2021 et être achevées après cette date. Le plan 2020 a été mis à jour en milieu d’année. Le comité de suivi des audits a tenu compte à la fois du plan initial et du plan mis à jour. En 2020, le service d’audit interne a également procédé à des évaluations approfondies des risques dans les différentes directions générales et différents services. Sur la base des résultats de ces évaluations, l’auditeur interne a adopté le plan d’audit stratégique 2021-2023 en ce qui concerne la Commission.
Le service d’audit interne planifie ses travaux sur la base d’une évaluation des risques et d’une analyse des capacités, comme l’exigent sa charte et les normes internationales, ce qui contribue à assurer une mise en œuvre efficiente et efficace du plan d’audit. Sa mise en œuvre fait l’objet d’un suivi régulier et est ajustée si nécessaire.
Source: Commission européenne, service d’audit interne
3.2.Données statistiques sur les recommandations du service d’audit interne 8
Le graphique ci-dessous montre le nombre de recommandations émises par le service d’audit interne en 2020.
Source: Commission européenne, service d’audit interne
En 2020, les entités auditées ont accepté l’ensemble des 185 recommandations du service d’audit interne. Dans tous les cas, ces entités ont élaboré des plans d’action qu’elles ont ensuite soumis au service d’audit interne, qui, à son tour, a estimé que les plans étaient satisfaisants.
Au cours de la période 2016-2020, sur un total de 1 010 recommandations (partiellement) acceptées 9 formulées par le service d’audit interne, 725 (soit 72 %) ont été considérées par les entités auditées comme étant mises en œuvre à la date butoir du 31 janvier 2021 10 . Il reste donc un total de 285 recommandations (soit 28 %) encore ouvertes.
Source: Commission européenne, service d’audit interne
Sur ces 285 recommandations ouvertes, 5 sont jugées essentielles, 83 très importantes et 76 sont en retard (c’est-à-dire qu’elles n’ont pas été mises en œuvre à la date initialement convenue). Ces recommandations en souffrance représentent 7,5 % du total des 1 010 recommandations (partiellement) acceptées. Parmi ces 76 recommandations en souffrance, 6 recommandations très importantes sont classées comme accusant un sérieux retard (c’est-à-dire de plus de 6 mois après la date de mise en œuvre initiale). Ces recommandations qui accusent un sérieux retard représentent 0,6 % du nombre total de recommandations acceptées essentielles et très importantes au cours de la période 2016-2020 (contre 0,3 % au cours de la période de référence précédente).
Source: Commission européenne, service d’audit interne
D’une manière générale, le service d’audit interne considère que la mise en œuvre des recommandations est satisfaisante et comparable aux périodes de référence précédentes. Cette situation montre que les services de la Commission font preuve de diligence dans la mise en œuvre des recommandations essentielles et très importantes, atténuant de ce fait les risques recensés par le service d’audit interne. Il convient néanmoins d’accorder une attention particulière aux différentes recommandations considérées comme très importantes qui accusent un sérieux retard.
Un résumé de ces recommandations très importantes qui accusent un sérieux retard figure à la partie 3 de l’annexe du présent rapport. Un rapport spécifique sur la mise en œuvre des recommandations d’audit interne a été établi et transmis au comité de suivi des audits.
4.Conclusions fondées sur les travaux d’audit effectués en 2020
4.1.Conclusion sur les audits de performance
Pour contribuer à la culture de la performance au sein de la Commission et renforcer l’importance accrue que celle-ci accorde à la notion de rapport qualité-prix, le service d’audit interne a réalisé deux types d’audit en 2020: des audits de performance et des audits intégrés 11 comportant une analyse d’aspects importants relatifs à la performance. Ceux-ci étaient prévus par le plan d’audit stratégique 2019-2021 du service d’audit interne.
Conformément à sa méthodologie et à ses bonnes pratiques, le service d’audit interne a abordé les performances de manière indirecte, en examinant dans quelle mesure et de quelle manière l’encadrement avait mis en place des systèmes de contrôle destinés à évaluer et à garantir les performances (efficacité et efficience) de ses activités. Au moyen de cette approche, il entend s’assurer que les directions générales et les services ont élaboré des cadres de performance, des outils de mesure des performances, des indicateurs clés et des systèmes de suivi appropriés.
Les points suivants détaillent les conclusions établies par le service d’audit interne concernant les différents aspects liés à la performance sur lesquels il s’est concentré dans le cadre des audits qu’il a réalisés en 2020.
4.1.1.Gestion des données et de l’information
Les données constituent un atout stratégique pour une organisation du secteur public. Les politiques de l’UE et la mise en œuvre de ses programmes sont de plus en plus fondées sur des données. Les décideurs politiques utilisent des éléments quantifiés pour prendre des décisions éclairées. Des données sont également utilisées pour démontrer la performance du budget de l’UE et les progrès accomplis dans la réalisation des objectifs de ses programmes de dépenses. Les données devraient être largement diffusées et partagées entre les services de la Commission, le cas échéant, afin d’améliorer le rapport coût-efficacité. Parallèlement, la Commission doit veiller au respect absolu des dispositions juridiques et des autres exigences en matière de confidentialité, et garantir un niveau élevé de sécurité pour les informations sensibles. La nécessité de préserver des normes élevées en matière de respect de la vie privée, de sécurité, de sûreté et d’éthique sans entraver les flux de données et la large utilisation de ces dernières fait partie intégrante des orientations politiques et a été soulignée dans les méthodes de travail de la Commission von der Leyen.
Dans ce contexte exigeant, le service d’audit interne a effectué une série d’audits portant sur différents aspects de la gestion des données. Les résultats de ces audits indiquent clairement que des améliorations significatives sont nécessaires dans ce domaine à l’avenir, un certain nombre 12 de recommandations très importantes émises en 2020 étant liées à la gestion des données.
L’audit de la gestion des données, des informations et des connaissances a permis d’évaluer l’efficacité de la stratégie de la Commission dans ce domaine. Il a conclu que la Commission devrait mettre en place une stratégie et une structure spécifiques dans le but: 1) d’améliorer la manière dont les données, les informations et les connaissances sont collectées, gérées, partagées et conservées; et 2) de créer de nouvelles possibilités de travail collaboratif. Le service d’audit interne a reconnu que, dans les limites de la stratégie et du dispositif de gouvernance actuels, des mesures importantes avaient été prises pour fixer des priorités, coordonner et gérer les activités dans le domaine de la gestion des données, de l’information et des connaissances. Toutefois, il est nécessaire d’apporter dans des domaines clés des améliorations proportionnées qui permettraient à la Commission de disposer d’une stratégie de gestion des données, des informations et des connaissances totalement conforme à ses objectifs et priorités politiques, de renforcer le rôle de supervision de l’organe directeur (le comité de pilotage de la gestion de l’information) et de garantir une gestion efficace des données, des informations et des connaissances. Les améliorations proposées visent à compléter le cadre existant, afin de mieux répondre aux difficultés et aux changements induits par la mise en œuvre d’une Commission intégralement fondée sur les données.
Un problème connexe de compatibilité avec les priorités et les objectifs à l’échelle de la Commission a été mis en évidence lors de l’audit des travaux du Centre commun de recherche à l’appui de la politique et de la gestion des connaissances de l’UE. Le Centre commun de recherche est le service de la Commission européenne chargé de la science et de la connaissance. Étant donné que l’un de ses principaux objectifs est de soutenir les politiques de l’UE avec des données scientifiques indépendantes de la plus haute qualité tout au long du cycle politique dans un large éventail de domaines, la gestion adéquate des données, des informations et des connaissances est pour lui un facteur de réussite essentiel. Bien que des processus d’appui stratégique et de gestion des connaissances soient mis en œuvre de manière efficiente pour permettre au Centre de mobiliser l’expertise disponible afin de fournir en temps utile des produits de haute qualité répondant aux besoins d’appui stratégique du client, il existe une lacune de taille (très importante) dans la conception des processus qui affecte leur mise en œuvre effective. Le recensement, dans toute la Commission, des besoins d’appui stratégique au niveau institutionnel et des directions générales devrait être considérablement renforcé afin de permettre une hiérarchisation plus efficace des activités du Centre, conformément aux priorités de la Commission.
La protection de l’information et la préservation de la confidentialité des données gérées constituent un autre aspect essentiel de la gestion des données. Celui-ci est d’autant plus important pour les informations classifiées que la divulgation non autorisée de ces informations peut nuire de manière significative aux intérêts de l’UE ou d’un ou de plusieurs de ses États membres. Lors de l’audit sur la gestion des subventions au titre d’Horizon 2020 au sein de l’Agence exécutive pour la recherche, les auditeurs ont constaté que, bien que les contrôles ex ante des paiements au titre d’Horizon 2020 et les procédures de clôture des projets relevant d’Horizon 2020 aient été efficaces, il existait des lacunes dans la gestion des projets liés à des informations «restreint UE», entraînant en fin de compte des violations de la sécurité.
La stratégie numérique de la Commission complète sa stratégie de gestion des données, des informations et des connaissances. La stratégie numérique définit une vision d’une administration transformée numériquement, centrée sur l’utilisateur et fondée sur les données. L’un des catalyseurs de cette transformation est l’informatique en nuage. L’informatique en nuage publique vise à apporter des avantages tels que souplesse des entreprises, facilité d’utilisation, disponibilité des données, économies de coûts et durabilité. Toutefois, la protection adéquate des données devrait également être une considération essentielle lors de l’adoption de solutions informatiques en nuage. Lors de l’audit sur la gestion des services publics d’informatique en nuage, le service d’audit interne a reconnu les efforts déployés ces dernières années pour définir une vision des solutions informatiques en nuage. Tout en reconnaissant les mesures déjà prises par la Commission pour mettre en place des modalités appropriées pour l’utilisation des services en nuage publics d’«infrastructure en tant que service» et de «plateforme en tant que service», le service d’audit interne a conclu que la gouvernance et la sécurité de ces services de sécurité en nuage devaient être considérablement améliorées afin qu’ils atteignent leurs objectifs tout en réduisant l’exposition aux risques.
4.1.2.Protection des données
Deux audits ont évalué l’efficience et l’efficacité des systèmes de contrôle interne qui permettent aux directions générales concernées de la Commission de démontrer le respect du règlement (UE) 2018/1725 relatif à la protection des données à caractère personnel. Les deux audits ont révélé d’importantes failles dans les systèmes de contrôle interne en place. Cette situation expose la Commission à des risques de réputation, qui pourraient entraver la réalisation de son objectif général consistant à devenir une «Commission européenne moderne, performante et durable», notamment en raison de son rôle clé dans l’adoption des règlements relatifs à la protection des données en Europe.
1.Le premier audit a porté sur cinq directions générales et services aux niveaux institutionnel et local et a donné lieu à huit recommandations très importantes au total. Le service d’audit interne a conclu que, bien que la Commission ait accompli des progrès satisfaisants dans la mise en place de systèmes de contrôle permettant aux directions générales et aux services de démontrer le respect de la base juridique applicable, un certain nombre d’améliorations significatives restent nécessaires pour renforcer l’efficacité et l’efficience de ces systèmes en vue de parvenir à une conformité intégrale. Ces améliorations concernent: 1) le cadre général régissant les aspects relatifs à la protection des données; 2) le rôle et les actions du délégué à la protection des données pour soutenir le processus de protection des données dans l’ensemble de la Commission; et 3) le recours à des mesures ciblées pour améliorer le respect des dispositions essentielles du règlement (UE) 2018/1725. Ces améliorations devraient être considérées comme des mesures complémentaires visant à renforcer les structures et processus de gouvernance existants en matière de protection des données, tout en respectant les principes du modèle décentralisé actuel de la Commission, qui restent valables.
2.Le deuxième audit a été réalisé au sein de la direction générale de l’éducation, de la jeunesse, du sport et de la culture, qui est responsable de programmes tels qu’Erasmus+ et le corps européen de solidarité, et a donné lieu à une recommandation essentielle et à quatre recommandations très importantes. Dans le cadre de leur participation à ces programmes, un grand nombre de personnes fournissent à la direction générale certaines données à caractère personnel. En tant que responsable délégué du traitement des données, la direction générale traite ces données à caractère personnel et les transmet aux agences nationales des États membres de l’UE et des pays tiers, qui sont chargées de mettre en œuvre les projets au niveau national. Conjointement avec les agences nationales, qui agissent en tant que sous-traitants de données, la direction générale de l’éducation, de la jeunesse, du sport et de la culture doit veiller à ce que les données reçues des participants aux programmes soient protégées de manière adéquate par tous les acteurs ayant accès à ces données. Le service d’audit interne a constaté que: 1) la direction générale a introduit certains éléments liés à la protection des données à caractère personnel dans les documents d’orientation et les accords qui régissent les programmes; et 2) la protection des données à caractère personnel est explicitement mentionnée dans les déclarations de gestion des agences nationales. Ces éléments sont des éléments constitutifs du système de contrôle pour le traitement des données à caractère personnel, mais ils ne sont pas toujours correctement mis en œuvre et, plus précisément, ils n’offrent pas les garanties, exigées par le règlement (UE) 2018/1725, pour les transferts internationaux de données en dehors des pays de l’UE/de l’Espace économique européen. Le système de contrôle interne en place pour la protection des données à caractère personnel des bénéficiaires des programmes Erasmus+ et «Corps européen de solidarité» et des participants à ces programmes n’a pas été jugé efficace pour garantir le respect des principales dispositions du règlement.
Un problème transversal qui s’est dégagé de ces deux audits concerne le transfert de données à caractère personnel vers les pays tiers. L’invalidation du bouclier de protection des données UE-États-Unis («arrêt Schrems II») pose des problèmes concrets aux services qui transfèrent des données à caractère personnel vers des pays tiers ou utilisent le nuage. En réponse à une injonction du Contrôleur européen de la protection des données, la Commission a recensé plus de 600 dossiers de traitement qui pourraient concerner des transferts internationaux problématiques de données à caractère personnel. La recommandation essentielle adressée par le service d’audit interne à la direction générale de l’éducation, de la jeunesse, du sport et de la culture était liée au transfert de données à caractère personnel vers des pays tiers. À la suite des mesures prises par la direction générale, le service d’audit interne a procédé, après la date butoir du présent rapport annuel, à une évaluation de certaines des mesures mises en œuvre par l’entité auditée. Le service d’audit interne a conclu que la direction générale de l’éducation, de la jeunesse, du sport et de la culture a partiellement atténué les risques et, par conséquent, réduit le niveau de risque pour deux recommandations (d'«essentielle» à «très importante» et de «très importante» à «importante»).
Enfin, lors d’un autre audit relatif à la gestion des experts dans le cadre des subventions au titre d’Horizon 2020, un problème a été relevé concernant le traitement des données à caractère personnel des experts, qui a donné lieu à une recommandation très importante.
4.1.3.Stratégies de supervision pour la mise en œuvre de programmes par des tiers
Les ordonnateurs doivent mettre en place des stratégies et des activités adéquates et efficaces pour superviser et contrôler la mise en œuvre effective des programmes par les entités déléguées et la protection du budget de l’UE, et pour remédier rapidement à toute difficulté potentielle constatée. Au cours des années précédentes, le service d’audit interne a effectué plusieurs audits portant sur les dispositifs de supervision en place dans les directions générales et les services pour la mise en œuvre de programmes (et/ou de politiques) par des tiers. Il a fréquemment mis en évidence des lacunes dans l’efficacité des stratégies de supervision. Dans son opinion globale sur la gestion financière, le service d’audit interne a rédigé un paragraphe d’observation 6 années de suite (de 2015 à 2020) sur les stratégies de supervision relatives à la mise en œuvre de politiques par des tiers. En 2020, trois audits ont porté sur les contributions de l’UE mises en œuvre en gestion indirecte.
L’audit réalisé auprès de plusieurs entités portant sur les évaluations des piliers a révélé d’importantes failles dans le système de contrôle interne pour la délégation de fonds en gestion indirecte, au niveau institutionnel et au niveau local dans un certain nombre de directions générales de la famille «action extérieure». Bien que la Commission ait consenti des efforts substantiels pour mettre en place un système efficace d’évaluation des piliers et continue d’investir dans la poursuite de l’élaboration d’une approche institutionnelle pour améliorer la cohérence de la mise en œuvre et réduire les risques élevés inhérents à ce domaine, le système doit être considérablement renforcé. Ce renforcement est nécessaire pour garantir un niveau de protection du budget de l’UE équivalent à celui dont bénéficie l’exécution directe du budget. Les importantes failles constatées concernent 1) les accords signés avec le secrétariat des Nations unies et les entités apparentées sans évaluation des piliers préalable positive et sans mise en place de mesures de surveillance appropriées (cette observation a conduit le service d’audit interne à formuler des recommandations essentielles à l’intention des entités auditées); 2) des informations inexactes sur le statut des évaluations des piliers qui ont conduit les directions générales et les services à signer des accords avec des entités sans évaluation préalable positive des piliers et sans mise en place de mesures de surveillance appropriées; 3) une surveillance institutionnelle inadéquate; 4) un suivi inadéquat des modifications substantielles des systèmes des entités ayant fait l’objet d’une évaluation des piliers; et 5) la participation insuffisante des directions générales et des services aux évaluations des piliers effectuées par des tiers. Sur la base de ces observations, le service d’audit interne a adressé au total 4 recommandations essentielles et 15 recommandations très importantes aux cinq directions générales concernées. Le détail de ces recommandations figure dans les annexes du présent rapport.
Parallèlement, les deux autres audits portant 1) sur la gestion indirecte avec des entités chargées de l’exécution, réalisé au sein de la direction générale des partenariats internationaux et de la direction générale du voisinage et des négociations d’élargissement, et 2) sur la supervision de la mise en œuvre du programme 2014-2020 pour le service européen de navigation par recouvrement géostationnaire, réalisé au sein de la direction générale de l’industrie de la défense et de l’espace, ont brossé un tableau globalement positif des processus audités. Ces audits n’ont mis en évidence aucun problème essentiel ou très important.
4.1.4.Stratégies de contrôle pour certains services et directions générales
Les directions générales et les services sont tenus de garantir la légalité, la régularité et la bonne gestion financière des programmes et projets financés au moyen du budget de l’UE. Les ordonnateurs délégués conçoivent une stratégie de contrôle. Cette stratégie comprend des contrôles ex ante et ex post qui constituent les éléments essentiels sur lesquels s’appuie la déclaration annuelle d’assurance. En 2020, le service d’audit interne a réalisé plusieurs audits dans ce domaine. Il s’agissait:
1) d’un audit sur la conception et la mise en œuvre de la stratégie de contrôle, réalisé au sein de l’Agence exécutive pour les consommateurs, la santé, l’agriculture et l’alimentation; 2) d’un audit sur l’efficacité de la conception et de la mise en œuvre de la stratégie de contrôle ex post relative au mécanisme pour l’interconnexion en Europe, réalisé au sein de l’Agence exécutive pour l’innovation et les réseaux; 3) d’un audit sur la stratégie d’audit ex post d’Horizon 2020, réalisé au sein de la direction générale de la recherche et de l’innovation; et 4) d’un audit sur les contrôles ex post, réalisé au sein de l’Agence exécutive «Éducation, audiovisuel et culture». Les audits réalisés en 2020 brossent un tableau globalement positif, même si deux des quatre audits ont révélé les lacunes exposées ci-après.
Le centre commun de mise en œuvre, administrativement rattaché à la direction générale de la recherche et de l’innovation, fournit des services d’audit pour les différents organismes chargés de la mise en œuvre d’Horizon 2020, au moyen d’audits financiers (ex post) réalisés soit par ses propres auditeurs, soit par des cabinets d’audit externes, afin de vérifier l’éligibilité des coûts déclarés par les bénéficiaires. Le service d’audit interne a constaté une lacune dans la conception de la stratégie d’audit ex post pour Horizon 2020 et a formulé deux recommandations très importantes.
Concernant l’Agence exécutive pour l’innovation et les réseaux, bien que la stratégie de contrôle ex post ait été jugée globalement conçue de manière adéquate et effectivement mise en œuvre, une lacune a été constatée en ce qui concerne l’évaluation des modifications apportées aux marchés publics lors des audits ex post et la documentation des travaux effectués par les auditeurs sur place.
4.1.5.Processus de gestion des ressources humaines
Ces dernières années, le service d’audit interne a réalisé différents audits des processus de gestion des ressources humaines dans plusieurs directions générales et services de la Commission. Les problèmes recensés au cours des années précédentes ont également été constatés cette année dans le cadre d’un audit des ressources humaines d’Eurostat. Le service d’audit interne a relevé des lacunes dans la gestion stratégique des ressources humaines, la planification des ressources humaines ainsi que le suivi et l’établissement de rapports en matière de ressources humaines. Il a recommandé à Eurostat de prendre des mesures ciblées dans ces domaines.
4.1.6.Examens évaluant la mise en œuvre du nouveau cadre de contrôle interne de la Commission
En 2019, le service d’audit interne a engagé une série d’examens limités dans six directions générales et services en vue d’évaluer la mise en œuvre du nouveau cadre de contrôle interne de la Commission. En 2020, cette initiative s’est poursuivie avec trois examens limités supplémentaires portant sur le même sujet, axés sur le processus d’évaluation, et non sur le système de contrôle interne lui-même. Les résultats généralement satisfaisants observés en 2019 ont été confirmés en 2020, une seule recommandation très importante ayant été émise. Ceux-ci confirment que les processus d’évaluation des systèmes de contrôle interne de la Commission ne constituent pas un domaine à haut risque.
4.1.7.Autres processus
Plusieurs audits ont évalué les aspects liés à la performance d’autres processus mis en œuvre par divers directions générales et services. La plupart d’entre eux n’ont relevé aucun problème majeur de performance. Un problème majeur n’a été constaté que dans quelques cas.
Les experts externes sont des acteurs clés du processus de gestion des subventions d’Horizon 2020 lors de l’évaluation des propositions et de la mise en œuvre des projets. Le service d’audit interne a constaté que, bien que les directions générales et les agences exécutives aient généralement établi et mis en œuvre des systèmes de contrôle interne adéquats et efficaces pour le processus de gestion des experts, des lacunes subsistent en ce qui concerne l’efficacité du suivi des schémas de participation des experts et le respect des règles de rotation.
Une lacune a été décelée dans la conception et l’efficacité des pratiques du Centre commun de recherche en matière de gestion des projets informatiques.
Une faiblesse a également été décelée dans le cadre de gestion de la performance du service des instruments de politique étrangère.
Le système de contrôle de la direction générale du commerce pour la planification et le suivi du processus d’évaluation n’a pas été jugé totalement adéquat ou efficace (notamment en ce qui concerne l’utilisation des ressources).
4.2.Conclusions limitées du service d’audit interne
Le service d’audit interne a adressé des conclusions limitées sur l’état du contrôle interne à chaque 13 direction générale et à chaque service en février 2021. Ces conclusions limitées figurent dans les rapports d’activité annuels de 2020 des directions générales et des services concernés. S’appuyant sur les travaux d’audit réalisés ces 3 dernières années, elles couvrent toutes les recommandations ouvertes formulées par le service d’audit interne et par les anciennes structures d’audit interne (dans la mesure où ces recommandations ont été reprises par le service d’audit interne). La conclusion du service d’audit interne sur l’état du contrôle interne est limitée aux systèmes de gestion et de contrôle qui ont fait l’objet d’un audit. Elle ne concerne pas les systèmes qui n’ont pas été audités par le service d’audit interne au cours des 3 dernières années.
4.3.Opinion globale sur la gestion financière de la Commission
Comme l’exige sa charte de mission, le service d’audit interne rend chaque année une opinion globale sur la gestion financière de la Commission. Cette opinion repose sur les travaux d’audit réalisés à la Commission dans le domaine de la gestion financière par le service d’audit interne au cours des 3 dernières années (de 2018 à 2020). Elle tient compte également d’informations provenant d’autres sources, à savoir les rapports de la Cour des comptes européenne. L’opinion globale est publiée en même temps que le présent rapport et couvre le même exercice.
Comme lors des éditions précédentes, l’opinion globale de 2020 est nuancée par les réserves que les ordonnateurs délégués ont formulées dans leurs déclarations d’assurance. Pour forger son opinion globale, le service d’audit interne a examiné l’incidence cumulée: 1) des montants jugés à risque tels qu’indiqués dans les rapports d’activité annuels; 2) de la capacité de correction telle qu’elle ressort des corrections financières appliquées et des recouvrements effectués par le passé; et 3) des estimations des corrections futures et des montants à risque au moment de la clôture. Compte tenu de l’ampleur des corrections financières appliquées et des recouvrements effectués par le passé et partant de l’hypothèse que les corrections appliquées au cours des prochaines années seront effectuées à un niveau comparable, le budget de l’UE est efficacement protégé dans son ensemble (pas nécessairement pour chaque domaine d’action) et dans le temps (parfois sur plusieurs années).
Sans nuancer davantage son opinion globale, le service d’audit interne a mis l’accent sur les points suivants:
1.Exécution du budget de l’UE dans le contexte de la crise actuelle liée à la pandémie de COVID-19: il est nécessaire de procéder à un suivi et à une évaluation continus des risques nouveaux/émergents ainsi que de définir et mettre en œuvre les mesures d’atténuation correspondantes.
La situation sanitaire, sociale, économique et financière créée par la pandémie de COVID-19 fait peser des risques transversaux potentiellement élevés pour l’institution en ce qui concerne l’exécution du budget de l’UE et la mise en œuvre de ses priorités d’action.
Cela comprend les opérations effectuées avant la crise (dans le contexte du cadre financier pluriannuel 2014-2020), pour lesquelles des contrôles adéquats (en particulier ex post) doivent encore être réalisés, et les opérations à venir au titre du cadre financier pluriannuel 2021-2027 et du plan de relance prévu par NextGenerationEU, en ce qui concerne les aspects relatifs à l’assurance, à la conformité et à la performance.
Alors que la crise dure depuis le début de 2020, ce contexte pose des difficultés, notamment en ce qui concerne:
·l’exécution du budget conformément au cadre juridique applicable, en raison des évolutions des règles et règlements, des procédures d’urgence, du recours à des mesures exceptionnelles, des conditions difficiles et/ou de la disponibilité limitée des ressources financières et humaines;
·la mesure dans laquelle les contrôles et vérifications nécessaires, que ce soit au niveau de la Commission, des États membres, des pays tiers, des partenaires chargés de la mise en œuvre et/ou des bénéficiaires, peuvent être réalisés comme prévu compte tenu de contraintes logistiques telles que l’accès entier et en temps utile aux informations et aux documents, de problèmes dans l’accomplissement des missions/des vérifications ponctuelles et de la capacité des partenaires chargés de la mise en œuvre et des bénéficiaires à poursuivre leurs activités normales;
·l’incidence potentielle sur la capacité de correction actuelle et future de la Commission, en raison de la situation économique très difficile rencontrée aux niveaux européen et national, notamment d’éventuelles faillites de bénéficiaires finaux, qui pourraient rendre difficile le recouvrement des montants indûment versés.
Les assurances fournies sur la gestion financière du budget de l’UE sont pluriannuelles par nature et dépendent de la solidité des stratégies de contrôle correspondantes à différents niveaux. Celles-ci reposent sur des évaluations des risques des programmes spécifiques et des opérations budgétaires qui s’y rapportent, des contrôles ex ante et ex post des dépenses, des stratégies de supervision portant sur la mise en œuvre des politiques et programmes par des tiers, ainsi que sur la mise en œuvre de la capacité de correction pour protéger le budget de l’UE. Le service d’audit interne reconnaît que, même avant l’été 2020, les services de la Commission avaient évalué (ou commencé à évaluer) les risques découlant de la pandémie de COVID-19 et liés à l’exécution du budget de l’UE, tant sur le plan de la conformité que de la performance, et ont adopté des mesures d’atténuation.
Afin de garantir que le budget soit dûment protégé dans la durée face à ces difficultés sans précédent, le service d’audit interne souligne que les directions générales et les services de la Commission devraient continuer i) d’évaluer convenablement les risques engendrés par la pandémie de COVID-19 relatifs à la gestion financière en termes d’assurance, de conformité au cadre juridique et de capacité de correction des systèmes pluriannuels, ainsi que de performance; et ii) de définir et de mettre en œuvre des mesures d’atténuation adéquates, comme l’adaptation ou la redéfinition de leurs stratégies de contrôle. En outre, les directions générales de la Commission devraient concevoir et mettre en œuvre des stratégies appropriées de gestion financière, d’audit et de contrôle pour les opérations de soutien à la reprise dans le cadre de NextGenerationEU, notamment en ce qui concerne la facilité pour la reprise et la résilience.
2.Stratégies de supervision portant sur la mise en œuvre des politiques et programmes par des tiers
Bien que la Commission conserve l’entière responsabilité de veiller à la légalité et à la régularité des dépenses et à une gestion financière rigoureuse (ainsi qu’à la réalisation des objectifs stratégiques), elle s’appuie toujours plus sur la collaboration de tiers pour la réalisation de ses programmes. Celle-ci passe principalement par la délégation de l’exécution du budget opérationnel de l’UE ou de certaines tâches à des pays tiers, à des organisations internationales ou des institutions financières internationales, à des autorités ou des agences nationales dans les États membres, à des entreprises communes, à des organismes extérieurs à l’UE et à des agences décentralisées de l’UE. En outre, dans certains domaines d’action, des mécanismes de financement alternatifs tels que les instruments financiers sont de plus en plus utilisés et engendrent des difficultés et des risques spécifiques pour la Commission, comme le souligne également la Cour des comptes européenne.
Pour s’acquitter de leurs responsabilités, les directions générales doivent superviser l’exécution des programmes et des politiques et fournir les orientations et l’assistance nécessaires. Elles doivent par conséquent définir et mettre en œuvre des activités de supervision, de suivi et de communication des résultats adéquates, efficaces et efficientes afin de garantir que les entités déléguées et les autres partenaires exécutent efficacement les programmes, protègent correctement les intérêts financiers de l’UE et, le cas échéant, respectent les accords de délégation, et que tout éventuel problème constaté est pris en charge le plus rapidement possible.
Dans plusieurs audits effectués en 2020, le service d’audit interne a continué de recommander que les stratégies de contrôle et les dispositifs de supervision des directions générales concernées fixent plus clairement les priorités et la nécessité d'obtenir l'assurance d’une bonne gestion financière de la part des organismes de l’UE et de pays tiers. Bien que des mesures aient été prises ces dernières années, à la fois au niveau des services centraux et au niveau des directions générales concernées, pour atténuer les risques décelés dans les audits, il subsiste des marges d’amélioration dans certains domaines, notamment en ce qui concerne l’évaluation des piliers dans le cadre de la gestion indirecte.
Dans ce contexte, les directions générales de la Commission devraient poursuivre leurs efforts pour déterminer et évaluer les risques liés à la délégation de tâches à des tiers et mettre en œuvre des activités de supervision efficaces et efficientes en poursuivant le développement des stratégies de contrôle correspondantes. Il convient d’accorder une attention particulière au respect des conditions préalables pour confier à des tiers la gestion des fonds de l’UE. Cela est pertinent non seulement pour les activités déléguées au titre du cadre financier pluriannuel 2014-2020, mais encore plus compte tenu du recours accru aux instruments de fonds propres, de garantie et de partage des risques dans le cadre financier pluriannuel 2021-2027.
Le service d’audit interne suivra l’évolution des incidences de la crise de la COVID-19 et du recours à des tiers pour la mise en œuvre de programmes sur les cadres financiers pluriannuels 2014-2020 et 2021-2027, les priorités politiques et la gestion financière de la Commission. Ce suivi sera mené dans le cadre des mises à jour des évaluations périodiques des risques (stratégiques) et des plans d’audit qui en résultent effectuées par le service d’audit interne.
5.Consultation de l’instance de la Commission spécialisée en matière d’irrégularités financières 14
L’instance établie conformément à l’article 143 du règlement financier n’a signalé aucun problème systémique en 2020 dans l’avis visé à l’article 93 dudit règlement.
6.Mesures d’atténuation des conflits d’intérêts potentiels (normes internationales en matière d’audit interne) - Enquête de la Médiatrice européenne
L’actuel directeur général du service d’audit interne, M. Manfred Kraff, auditeur interne de la Commission, a pris ses fonctions le 1er mars 2017. Auparavant, M. Kraff était directeur général adjoint et comptable de la Commission à la direction générale du budget.
Conformément aux normes internationales en matière d’audit 15 , le 7 mars 2017, à la suite de sa nomination en tant que directeur général et auditeur interne, M. Kraff a publié des instructions relatives aux modalités à mettre en place pour réduire et/ou éviter tout conflit d’intérêts potentiel ou supposé dans les travaux d’audit du service d’audit interne en lien avec ses responsabilités antérieures. M. Kraff a prorogé ces modalités en 2018 (jusqu’au 1er mars 2019), en 2019 (jusqu’au 1er mars 2020), en 2020 (jusqu’au 1er mars 2021) et en 2021 (jusqu’au 1er mars 2022) par la voie de notes d’instructions publiées le 1er mars 2018, le 1er mars 2019, le 2 mars 2020 et le 23 février 2021 à l’intention de l’ensemble du personnel du service d’audit interne. Conformément à ces modalités, M. Kraff n’interviendra pas dans la supervision de travaux d’audit portant sur des opérations dont il était responsable avant de rejoindre le service d’audit interne. En pareil cas, la responsabilité de la supervision des travaux d’audit est finalement revenue/reviendra à M. Jeff Mason, ancien directeur général faisant fonction du service d’audit interne (de septembre 2016 à février 2017) et actuel directeur au service d’audit interne (direction B, «Audit au sein de la Commission, des Agences Exécutives, des Agences de l’UE et des autres organismes autonomes II»). Ces modalités prévoyaient également que le comité de suivi des audits serait informé de ces instructions et de leur mise en œuvre et que M. Mason s’en remettrait à ce comité pour évaluer toute situation pouvant être considérée comme portant atteinte à l’indépendance ou à l’objectivité de M. Kraff. En pareil cas, M. Kraff s’abstiendrait de toute supervision de l’audit concerné.
Les modalités mises en place ont été examinées avec le comité de suivi des audits lors de sa réunion de mars 2018. Le comité a estimé que les mesures élaborées par le service d’audit interne écartaient efficacement le risque de conflit d’intérêts, conformément aux normes internationales et aux bonnes pratiques. Le comité a également relevé avec satisfaction que les modalités visant à garantir l’indépendance organisationnelle avaient été mises en œuvre dans la pratique dans le cadre des audits concernés. Le comité de suivi des audits a également fait le point sur la mise en œuvre de ces modalités en 2018 lors de ses réunions de janvier 2019 (groupe préparatoire), de mars 2019, de mars 2020 et de janvier 2021 (groupe préparatoire). Le comité de suivi des audits a une fois encore constaté avec satisfaction que ces modalités avaient été mises en œuvre dans la pratique à l’occasion d’un certain nombre d’audits et a estimé qu’il s’agissait d’une pratique exemplaire au sein de la profession d’audit interne.
Au cours de la période 2018-2020, au cours des auditions organisées dans le cadre de la procédure de décharge relative à l’année considérée, M. Kraff a présenté les modalités en place à la commission du contrôle budgétaire du Parlement européen (CONT). Ces modalités ont également été publiées dans les rapports d’activité annuels 2017, 2018 et 2019 du service d’audit interne ainsi que dans les rapports annuels de la Commission sur les audits internes de septembre 2018, juin 2019 et juin 2020.
Le 4 décembre 2017, la Médiatrice européenne a envoyé une lettre à la Commission européenne pour l’informer qu’à la suite d’une plainte d’un citoyen, une enquête allait être ouverte pour évaluer l’adéquation des mesures prises par la Commission pour prévenir tout conflit d’intérêts réel ou apparent lors de la nomination du nouveau directeur général du service d’audit interne. Le service d’audit interne et les services centraux de la Commission ont répondu aux questions de la Médiatrice et fourni toutes les pièces justificatives et informations demandées.
La Médiatrice a clôturé son enquête le 23 juillet 2019 16 , concluant: i) que la Commission avait mis en place des mesures appropriées pour éviter les conflits d’intérêts potentiels et pour protéger l’objectivité de la fonction d’auditeur interne; et ii) qu’il n’y avait pas eu de mauvaise administration dans la façon dont la Commission avait nommé le directeur général de son service d’audit interne.