13.12.2013 |
FR |
Journal officiel de l'Union européenne |
C 365/172 |
RAPPORT
sur les comptes annuels de l'Agence de l'Union européenne chargée de la sécurité des réseaux et de l'information relatifs à l'exercice 2012, accompagné des réponses de l'Agence
2013/C 365/24
INTRODUCTION
1. |
L'Agence de l'Union européenne chargée de la sécurité des réseaux et de l'information (ci-après «l'Agence» ou «l'ENISA»), sise à Athènes et à Héraklion (1), a été créée en vertu du règlement (CE) no 460/2004 du Parlement européen et du Conseil (2), modifié par les règlements (CE) no 1007/2008 (3) et (CE) no 580/2011 (4). La principale mission de l'Agence est de renforcer la capacité de l'Union à prévenir les problèmes de sécurité des réseaux et de l'information et, le cas échéant, à y faire face en s'appuyant sur les initiatives prises aux niveaux national et de l'UE (5). |
INFORMATIONS À L'APPUI DE LA DÉCLARATION D'ASSURANCE
2. |
L'approche d'audit choisie par la Cour repose sur des procédures d'audit analytiques, des tests directs des opérations et une évaluation des contrôles clés des systèmes de contrôle et de surveillance de l'Agence. À cela s'ajoutent des éléments probants obtenus grâce aux travaux d'autres auditeurs (le cas échéant), ainsi qu'une analyse des prises de position de la direction. |
DÉCLARATION D'ASSURANCE
3. |
Conformément aux dispositions de l'article 287 du traité sur le fonctionnement de l'Union européenne (TFUE), la Cour a contrôlé:
|
Responsabilité de la direction
4. |
En vertu des articles 33 et 43 du règlement (CE, Euratom) no 2343/2002 de la Commission (8), la direction est responsable de l'établissement et de la présentation fidèle des comptes annuels de l'Agence, ainsi que de la légalité et de la régularité des opérations sous-jacentes:
|
Responsabilité de l'auditeur
5. |
La responsabilité de la Cour consiste à fournir au Parlement européen et au Conseil (10), sur la base de son audit, une déclaration d'assurance concernant la fiabilité des comptes annuels de l'Agence, ainsi que la légalité et la régularité des opérations sous-jacentes. La Cour conduit son audit conformément aux normes internationales d'audit et aux codes de déontologie de l'IFAC, ainsi qu'aux normes internationales des institutions supérieures de contrôle, établies par l'Intosai. En vertu de ces normes, la Cour est tenue de programmer et d'effectuer ses travaux d'audit de manière à pouvoir déterminer avec une assurance raisonnable si les comptes annuels sont exempts d'anomalies significatives et si les opérations sous-jacentes à ces comptes sont légales et régulières. |
6. |
L'audit comprend la mise en œuvre de procédures en vue d'obtenir des éléments probants relatifs aux montants et aux informations qui figurent dans les comptes, ainsi qu'à la légalité et à la régularité des opérations sous-jacentes. Le choix des procédures s'appuie sur le jugement de l'auditeur, qui se fonde sur une appréciation du risque que des anomalies significatives affectent les comptes et, s'agissant des opérations sous-jacentes, du risque de non-respect, dans une mesure significative, des obligations prévues par le cadre juridique de l'Union européenne, que cela soit dû à des fraudes ou à des erreurs. Lorsqu'il apprécie ces risques, l'auditeur examine les contrôles internes pertinents pour élaborer les comptes et assurer la fidélité de leur présentation, ainsi que les systèmes de contrôle et de surveillance visant à assurer la légalité et la régularité des opérations sous-jacentes, et il conçoit des procédures d'audit adaptées aux circonstances. L'audit comporte également l'appréciation de l'adéquation des méthodes comptables appliquées et de la vraisemblance des estimations comptables, ainsi que l'évaluation de la présentation générale des comptes. |
7. |
La Cour estime que les informations probantes obtenues sont suffisantes et appropriées pour étayer sa déclaration d'assurance. |
Opinion sur la fiabilité des comptes
8. |
La Cour estime que les comptes annuels de l'Agence présentent fidèlement, dans tous leurs aspects significatifs, la situation financière de celle-ci au 31 décembre 2012, ainsi que les résultats de ses opérations et les flux de trésorerie pour l'exercice clos à cette date, conformément aux dispositions de son règlement financier et aux règles comptables adoptées par le comptable de la Commission. |
Opinion sur la légalité et la régularité des opérations sous-jacentes aux comptes
9. |
La Cour estime que les opérations sous-jacentes aux comptes annuels relatifs à l'exercice clos le 31 décembre 2012 sont légales et régulières dans tous leurs aspects significatifs. |
10. |
Le commentaire ci-après ne remet pas en cause les opinions de la Cour. |
COMMENTAIRE SUR LES CONTRÔLES INTERNES
11. |
Le dernier inventaire physique complet des immobilisations remonte à 2010, alors que le règlement financier de l'Agence et ses modalités d'exécution en prévoient un au moins tous les trois ans. |
SUIVI DES COMMENTAIRES DE L'ANNÉE PRÉCÉDENTE
12. |
L'annexe I donne une vue d'ensemble des mesures correctrices prises en réponse aux commentaires formulés l'année dernière par la Cour. |
Le présent rapport a été adopté par la Chambre IV, présidée par M. Louis GALEA, Membre de la Cour des comptes, à Luxembourg en sa réunion du 15 juillet 2013.
Par la Cour des comptes
Vítor Manuel da SILVA CALDEIRA
Président
(1) Le personnel opérationnel a été transféré à Athènes en mars 2013, tandis que le personnel administratif a été maintenu à Héraklion.
(2) JO L 77 du 13.3.2004, p. 1.
(3) JO L 293 du 31.10.2008, p. 1.
(4) JO L 165 du 24.6.2011, p. 3.
(5) L'annexe II présente, de manière synthétique et à titre d'information, les compétences et activités de l'Agence.
(6) Les états financiers comprennent le bilan, le compte de résultat économique, le tableau des flux de trésorerie, l'état des variations de l'actif net, ainsi qu'une synthèse des principales méthodes comptables et d'autres notes explicatives.
(7) Les états sur l'exécution du budget comprennent le compte de résultat de l'exécution budgétaire et son annexe.
(8) JO L 357 du 31.12.2002, p. 72.
(9) Les règles comptables adoptées par le comptable de la Commission sont fondées sur les normes comptables internationales pour le secteur public (IPSAS), publiées par la Fédération internationale des experts-comptables, ou, le cas échéant, sur les normes comptables internationales (IAS)/normes internationales d'information financière (IFRS) publiées par l'International Accounting Standards Board (IASB).
(10) Article 185, paragraphe 2, du règlement (CE, Euratom) no 1605/2002 du Conseil (JO L 248 du 16.9.2002, p. 1).
ANNEXE I
Suivi des commentaires de l'année précédente
Année |
Commentaires de la Cour |
Mise en œuvre des mesures correctrices (Terminée / En cours / En attente / Sans objet) |
2011 |
Ce niveau élevé de reports est contraire au principe budgétaire d'annualité. |
Terminée |
2011 |
La Cour a constaté qu'il convient de mieux documenter l'inventaire des immobilisations. Les acquisitions d'immobilisations sont enregistrées au niveau des factures mais non des postes budgétaires. Lorsque plusieurs nouveaux actifs sont couverts par une même facture, il n'existe qu'une seule entrée pour l'ensemble des actifs achetés, et seul le montant total est indiqué. |
En cours |
2011 |
L'Agence doit améliorer la transparence des procédures de recrutement. Aucune mesure appropriée n'a été prise pour remédier au manque de transparence mis en évidence par la Cour en 2010. Les notes minimales que les candidats devaient obtenir pour être conviés à un entretien, les questions pour les épreuves écrites et les entretiens, ainsi que leur pondération, n'étaient pas établies avant l'examen des candidatures. Les notes minimales à obtenir pour pouvoir être inscrit sur la liste d'aptitude n'étaient pas fixées avant l'examen des candidatures. |
Terminée |
ANNEXE II
Agence de l'Union européenne chargée de la sécurité des réseaux et de l'information (Héraklion)
Compétences et activités
Domaines de compétence de l'Union selon le traité (article 114 du traité sur le fonctionnement de l'Union européenne) |
Le Parlement européen et le Conseil, statuant conformément à la procédure législative ordinaire et après consultation du Comité économique et social, arrêtent les mesures relatives au rapprochement des dispositions législatives, réglementaires et administratives des États membres qui ont pour objet l'établissement et le fonctionnement du marché intérieur. La responsabilité en matière de marché intérieur relève d'une compétence partagée entre l'Union et les États membres [article 4, paragraphe 2, point a), du TFUE]. |
||||||||||||||||||||||||||||||
Compétences de l'Agence [règlement (CE) no 460/2004 du Parlement européen et du Conseil] |
Objectifs
Tâches
|
||||||||||||||||||||||||||||||
Gouvernance |
Conseil d'administration Il est composé d'un représentant de chaque État membre, de trois représentants nommés par la Commission, ainsi que de trois représentants sans droit de vote nommés par le Conseil sur proposition de la Commission, représentant chacun l'un des groupes suivants:
Groupe permanent des parties prenantes
Directeur exécutif Nommé pour un mandat de cinq ans par le conseil d'administration sur la base d'une liste de candidats proposés par la Commission européenne et après avoir été entendu par le Parlement européen. Contrôle externe Cour des comptes européenne. Contrôle interne Service d'audit interne de la Commission européenne (IAS). Autorité de décharge Parlement européen, sur recommandation du Conseil. |
||||||||||||||||||||||||||||||
Moyens mis à la disposition de l'Agence en 2012 (2011) |
Budget définitif 8,2 (8,1) millions d'euros, dont subvention de l'Union de 100 % (100 %) Effectifs au 31 décembre 2012 44 (44) emplois prévus au tableau des effectifs, dont pourvus: 42 (41) Autres emplois pourvus: 12 (13) agents contractuels et 4 (4) experts nationaux détachés Total des effectifs: 58 (58), dont affectés à des tâches:
|
||||||||||||||||||||||||||||||
Produits et services fournis en 2012 (2011) |
Volet (1) no 1: Reconnaître les menaces et y réagir dans un environnement en perpétuelle évolution L'évaluation des menaces émergentes est une étape fondamentale pour se préparer à faire face à de nouveaux défis. L'objectif de ce volet était d'établir un certain nombre de fiches portant sur l'état de préparation en matière de sécurité informatique pour différents domaines et initiatives gouvernementales, concernant notamment les États membres et la Commission (en identifiant par exemple les perspectives émergentes ainsi que les risques liés aux initiatives politiques). Cet objectif a été réalisé grâce à une analyse des perspectives émergentes et des risques afférents aux initiatives et domaines pertinents pour les différentes communautés de parties prenantes. L'Agence a en particulier publié un rapport dressant un panorama complet de la menace en matière de sécurité en Europe, ainsi que des rapports plus spécifiques dans les domaines de «la consumérisation de l'informatique», de «l'informatique en nuage» et de «la sécurité des acquisitions». En analysant à la fois les perspectives et les risques, l'ENISA est parvenue à des conclusions qui reflètent les compromis que les institutions et les entreprises devront faire dans des environnements opérationnels en temps réel. Cette approche aide les décideurs politiques et les entreprises à tirer pleinement parti de technologies et de modèles d'activité innovants tout en maintenant un haut niveau de sécurité. Elle s'est appuyée pleinement sur les accords de coopération existants et sur les parties prenantes réalisant des activités d'appui pour remplir les objectifs de ce volet. Nombre de résultats: 7. Volet no 2: Améliorer la PIIC (2) et la résilience à l'échelle européenne Le travail réalisé dans le cadre de ce volet était étroitement lié au plan d'action PIIC décrit dans les communications de la Commission de mars 2009 et mars 2011 et s'est inscrit dans la suite logique des travaux effectués dans le cadre des programmes de travail 2010 et 2011. Les activités de ce volet ont directement contribué aux objectifs définis dans le document de stratégie de sécurité intérieure et dans la stratégie numérique pour l'Europe. L'objectif principal du deuxième volet était d'aider les États membres à mettre en œuvre des systèmes TIC sécurisés et résilients, ainsi que d'accroître le niveau de protection des infrastructures et services d'information critiques en Europe. Cet objectif se décline au travers de différentes activités:
Parmi ces activités, on peut citer en particulier l'exercice de cybersécurité paneuropéen. Le second exercice de ce type a été réalisé le 4 octobre 2012 et a impliqué 339 organisations dans l'ensemble de l'Union européenne. Nombre de résultats: 13. Volet no 3: Soutenir les CERT (Computer Emergency Response Team) et les autres communautés opérationnelles Les modules de travail figurant sous cette section sont aussi en rapport direct avec le plan d'action PIIC décrit dans la communication de mars 2009 de la Commission, bien que les activités de ce volet soient étroitement liées à l'assistance et au développement de la communauté des CERT. S'agissant des CERT, l'ENISA a pour objectif de soutenir les États membres de l'Union européenne en vue de s'assurer que leurs CERT nationaux ou gouvernementaux respectifs jouent un rôle clé quant à leur capacité à se préparer aux évolutions à venir, à partager l'information et à mettre en place une réponse et une coordination durable. Cet objectif est atteint en définissant, en synergie avec les parties prenantes concernées, les capacités de base des CERT nationaux ou gouvernementaux, et en fournissant les moyens nécessaires pour y arriver. Les objectifs de ce volet sont plus particulièrement:
Dans le cadre de ce volet, l'ENISA a analysé les obstacles d'ordre juridique et procédural auxquels les CERT sont confrontés en Europe dans le cadre de la coopération et du partage d'informations avec d'autres CERT, ainsi que l'application des lois des pays tiers, et a formulé des recommandations sur les manières d'améliorer cette coopération. Nombre de résultats: 10. Volet no 4: Sécuriser l'économie numérique Dans le cadre de ce volet, l'ENISA a cherché à élaborer des mesures pouvant permettre à l'UE de gérer dans de bonnes conditions l'introduction et le déploiement de nouveaux services interopérables tout en respectant les droits fondamentaux des personnes et en recourant à des solutions sûres et fiables. Les travaux effectués dans ce domaine ont aidé les organisations des secteurs public et privé à améliorer leur approche de la sécurité en mettant au point des procédures fiables de gestion des données à caractère personnel conformes à la nouvelle proposition de législation sur la protection des données. Dans le cadre de ce volet, l'Agence a également apporté son soutien au mois européen de la sécurité des réseaux et de l'information pour tous. Nombre de résultats: 8. |
||||||||||||||||||||||||||||||
Source: Informations transmises par l'Agence. |
En anglais: work stream (WS).
PIIC: Protection des infrastructures d'information critiques.
Source: Informations transmises par l'Agence.
RÉPONSES DE L’AGENCE
11. |
L’ENISA a lancé un contrôle d’inventaire à la fin du mois d’avril 2013 dans ses deux bureaux, à Héraklion et Athènes. Il s’agit du premier contrôle dans l’histoire de l’ENISA effectué à l’aide d’un outil électronique dédié, ABAC Assets, et ses fonctionnalités respectives (y compris étiquetage, scannage, chargement d’éléments scannés, fourniture de rapports). Les résultats du contrôle seront traités par le comptable et les écritures comptables finales relatives aux différences entre les registres de comptabilité et l’inventaire physique seront effectuées pour le 31 juillet 2013 au plus tard. L’Agence réalisera et documentera ce type de contrôle sur une base annuelle afin d’assurer une représentation juste de la valeur des immobilisations dans les comptes annuels. |