Artykuł 36

1. Zgodnie z zasadą należytego zarządzania finansami budżet wykonuje się przy zapewnieniu skutecznej i efektywnej kontroli wewnętrznej odpowiedniej dla każdej z metod wykonywania oraz zgodnie z odpowiednimi przepisami sektorowymi.

2. Do celów wykonania budżetu kontrolę wewnętrzną stosuje się na wszystkich szczeblach zarządzania i ma ona zapewnić wystarczającą pewność co do osiągnięcia następujących celów:

a) skuteczności, efektywności i oszczędności w odniesieniu do operacji;

b) wiarygodności sprawozdawczości;

c) ochrony aktywów i informacji;

d) zapobiegania nieprawidłowościom, w tym nadużyciom finansowym, korupcji, konfliktom interesów i podwójnemu finansowaniu oraz ich wykrywania, korygowania i prowadzenia działań następczych, także poprzez dobrowolne korzystanie z jednolitego zintegrowanego i interoperacyjnego systemu informowania i monitorowania, obejmującego jednolite narzędzie do eksploracji danych i punktowej oceny ryzyka, dostarczonego przez Komisję, umożliwiającego dostęp do danych dotyczących odbiorców środków finansowych Unii, w tym ich beneficjentów rzeczywistych zdefiniowanych w art. 3 pkt 6 dyrektywy (UE) 2015/849, oraz elektroniczne automatyczne wyszukiwanie takich danych, ich rejestrowanie, przechowywanie i analizowanie, zgodnie z przepisami sektorowymi;

e) odpowiedniego zarządzania ryzykiem związanym ze zgodnością z prawem i prawidłowością operacji leżących u podstaw rozliczeń, z uwzględnieniem wieloletniego charakteru programów, jak również charakteru danych płatności.

3. Podstawą skutecznej kontroli wewnętrznej są najlepsze praktyki międzynarodowe, w szczególności następujące elementy:

a) rozdzielenie obowiązków;

b) odpowiednia strategia w zakresie zarządzania ryzykiem i kontroli, która obejmuje kontrole na szczeblu odbiorców;

c) odpowiednia ścieżka audytu oraz integralność danych w systemach danych, także elektronicznych;

d) procedury monitorowania skuteczności i efektywności;

e) procedury prowadzenia działań następczych w przypadku stwierdzenia uchybień oraz wyjątków w systemie kontroli wewnętrznej;

f) okresowa ocena prawidłowego funkcjonowania systemu kontroli wewnętrznej.

4. Efektywna kontrola wewnętrzna opiera się na następujących elementach:

a) wdrożeniu odpowiedniej strategii w zakresie zarządzania ryzykiem i kontroli skoordynowanej przez odpowiednich uczestników łańcucha kontroli;

b) dostępności rezultatów przeprowadzonych kontroli dla wszystkich odpowiednich uczestników łańcucha kontroli;

c) poleganiu, w stosownych przypadkach, na deklaracjach zarządczych partnerów wykonujących oraz na opiniach z niezależnych audytów, pod warunkiem że jakość pracy wykonanej w celu sporządzenia tych dokumentów jest odpowiednia i możliwa do zaakceptowania oraz że praca ta została wykonana stosownie do uzgodnionych standardów;

d) terminowym zastosowaniu środków naprawczych, w tym również – w stosownych przypadkach – odstraszających kar;

e) jasnym i jednoznacznym prawodawstwie leżącym u podstaw danych polityk, w tym również aktach podstawowych dotyczących elementów kontroli wewnętrznej;

f) eliminowaniu wielokrotnych kontroli;

g) poprawie relacji kosztów do korzyści w odniesieniu do działań kontrolnych.

5. Jeżeli w trakcie wykonywania utrzymuje się wysoki poziom błędu, Komisja wskazuje uchybienia w systemach kontroli, analizuje koszty i korzyści wynikające z ewentualnych środków naprawczych oraz podejmuje lub proponuje odpowiednie działania, takie jak uproszczenie mających zastosowanie przepisów, udoskonalenie systemów kontroli oraz modyfikacja programu lub systemów realizacji.

6. Do celów ust. 2 lit. d) niniejszego artykułu i bez uszczerbku dla drugiego akapitu niniejszego ustępu instytucje i organy Unii oraz osoby lub podmioty wykonujące budżet zgodnie z art. 62 ust. 1 udostępniają Komisji następujące informacje w formie elektronicznej, w interoperacyjnym i nadającym się do odczytu maszynowego formacie:

a) w odniesieniu do odbiorcy: wszystkie informacje wymienione w art. 38 ust. 2 lit. a), b) i c) oraz art. 38 ust. 6 akapit drugi, a w przypadku osoby fizycznej również datę urodzenia;

b) w odniesieniu do operacji: wszystkie informacje wymienione w art. 38 ust. 2 lit. d) i e), a także niepowtarzalny identyfikator operacji;

c) w odniesieniu do beneficjentów rzeczywistych odbiorców, jeżeli odbiorca nie jest osobą prawną: imiona, nazwiska, daty urodzenia i numery identyfikacyjne VAT lub numery identyfikacji podatkowej, jeżeli numery te są dostępne, albo inny niepowtarzalny identyfikator krajowy.

Do celów niniejszego artykułu, w przypadku gdy państwa członkowskie otrzymują i wykonują budżet zgodnie z art. 62 ust. 1, zapewniają Komisji dostęp do informacji określonych w akapicie pierwszym tylko wtedy, gdy mają obowiązek rejestrowania i przechowywania takich informacji zgodnie z przepisami sektorowymi. Jeśli w przepisach sektorowych nie ma takiego obowiązku, państwa członkowskie mogą dobrowolnie zapewnić Komisji dostęp do informacji będących w ich posiadaniu, o których mowa w akapicie pierwszym.

Do końca 2027 r. Komisja przedstawia ocenę gotowości systemu, o którym mowa w ust. 2 lit. d) niniejszego artykułu, w odniesieniu do następujących kryteriów:

a) zapewnienie interoperacyjności z odpowiednimi systemami informatycznymi i bazami danych, w tym z systemami i bazami danych państw członkowskich, umożliwiającej automatyczne przekazywanie odpowiednich informacji w czasie rzeczywistym, o ile jest to wykonalne, oraz unikanie powielania sprawozdawczości;

b) wskaźniki ryzyka stosowane przez system, o którym mowa w ust. 2 lit. d) niniejszego artykułu, są wystarczająco jednolite, obiektywne, proporcjonalne i niezbędne do oceny ryzyka oraz opierają się na wiarygodnych źródłach informacji;

c) system, o którym mowa w ust. 2 lit. d) niniejszego artykułu, pozwala na wykorzystywanie sztucznej inteligencji do analizy i interpretacji danych;

d) system, o którym mowa w ust. 2 lit. d) niniejszego artykułu, jest zgodny z ogólnymi zasadami ochrony danych.

Do celów niniejszego artykułu „interoperacyjność” oznacza minimalny niezbędny zbiór danych z różnych źródeł i komunikację między różnymi źródłami w celu skutecznej oceny danych i potencjalnego ryzyka.

Instytucje i organy Unii, państwa członkowskie oraz osoby lub podmioty wykonujące budżet zgodnie z art. 62 ust. 1 mogą dobrowolnie korzystać z systemu, o którym mowa w ust. 2 lit. d) niniejszego artykułu.

7. System, o którym mowa w ust. 2 lit. d) niniejszego artykułu, musi być zaprojektowany w sposób ułatwiający ocenę ryzyka na potrzeby dokonywania wyboru, udzielania zamówień, zarządzania finansami, monitorowania, prowadzenia dochodzeń, kontroli i audytów oraz przyczyniający się do skutecznego zapobiegania nieprawidłowościom, w tym nadużyciom finansowym, korupcji, konfliktom interesów i podwójnemu finansowaniu, oraz ich wykrywania, korygowania i prowadzenia działań następczych; system ten:

a) stosuje wyłącznie wskaźniki ryzyka, które są obiektywne, proporcjonalne, niezbędne do oceny ryzyka, a także oparte na wiarygodnych źródłach danych i informacji;

b) jest przeznaczony do użytku zgodnie z ogólnymi zasadami ochrony danych, w tym minimalizacji danych i ograniczenia ich przechowywania, mającymi zastosowanie do przetwarzania danych osobowych.

Dostęp do danych przetwarzanych w systemie, o którym mowa w ust. 2 lit. d) niniejszego artykułu, podlega mającym zastosowanie przepisom o ochronie danych, musi zapewniać poszanowanie zasad konieczności i proporcjonalności oraz przysługuje jedynie instytucjom i organom Unii wykonującym budżet, państwom członkowskim wykonującym budżet zgodnie z art. 62 ust. 1 akapit pierwszy lit. b), państwom członkowskim otrzymującym i wykonującym środki finansowe Unii zgodnie z art. 62 ust. 1 akapit pierwszy lit. a), osobom lub podmiotom wykonującym budżet zgodnie z art. 62 ust. 1 akapit pierwszy lit. c), unijnym organom dochodzeniowym, kontrolnym i audytowym, w tym OLAF, Trybunałowi Obrachunkowemu i EPPO, w ramach wykonywania ich odpowiednich kompetencji. Dane dostępne za pośrednictwem systemu, o którym mowa w ust. 2 lit. d) niniejszego artykułu, są udostępniane Parlamentowi Europejskiemu i Radzie indywidualnie dla każdego przypadku w zakresie niezbędnym i proporcjonalnym do wykonywania przez te instytucje ich odpowiednich kompetencji w kontekście procedury udzielania Komisji absolutorium.

Komisja jest administratorem w rozumieniu art. 3 pkt 8 rozporządzenia (UE) 2018/1725 i odpowiada za opracowanie systemu, o którym mowa w ust. 2 lit. d) niniejszego artykułu, zarządzanie tym systemem i nadzór nad nim, a także za zapewnienie bezpieczeństwa, integralności i poufności danych, uwierzytelnianie użytkowników oraz ochronę systemu informatycznego przed niewłaściwym zarządzaniem i wykorzystaniem.

Dane przechowywane są przez okres niezbędny i proporcjonalny do realizacji celu określonego w ust. 2 lit. d). Maksymalny możliwy okres przechowywania nie przekracza 10 lat od ostatniego wniosku o płatność za dany okres złożonego do Komisji.

8. Do celów ust. 2 lit. d) niniejszego artykułu, art. 144 ust. 2 i art. 147 oraz oprócz wszelkich mających zastosowanie przepisów sektorowych osoby i podmioty wykonujące budżet na podstawie art. 62 ust. 1 akapit pierwszy lit. b) oraz osoby i podmioty wykonujące środki finansowe, w przypadku gdy budżet jest wykonywany na podstawie art. 62 ust. 1 akapit pierwszy lit. a) z udziałem państw członkowskich, przekazują Komisji za pośrednictwem dowolnych oficjalnych kanałów, takich jak ustanowiony przez Komisję zautomatyzowany system informowania wykorzystywany obecnie do zgłaszania nadużyć finansowych i nieprawidłowości (zwany dalej „systemem zarządzania nieprawidłowościami”), informacje na temat faktów i ustaleń stwierdzonych wyłącznie w kontekście prawomocnych wyroków lub ostatecznych decyzji administracyjnych odnośnie do podstaw określonych w art. 138 ust. 1 lit. c) pkt (iv) i lit. d), gdy dowiadują się o takich informacjach. Do tych samych celów państwa członkowskie przekazują inne niezbędne informacje, o które zwróci się Komisja, w szczególności informacje związane z administracyjnymi działaniami następczymi.

9. Państwa członkowskie otrzymujące i wykonujące środki finansowe Unii na podstawie art. 62 ust. 1 akapit pierwszy lit. a) stosują ust. 1–7 niniejszego artykułu.

10. Do celów stosowania wymogów określonych w ust. 2, 3 i 6 niniejszego artykułu przez państwa członkowskie wykonujące budżet na podstawie art. 62 ust. 1 akapit pierwszy lit. b) odniesienia do odbiorców rozumie się zgodnie z art. 38 ust. 1 akapit drugi.

11. W ramach swojej strategii kontroli Komisja, w stosownych przypadkach, opracowuje i przeprowadza kontrole i audyty z wykorzystaniem zautomatyzowanych narzędzi informatycznych i powstających technologii.