Artículo 36 Normas financieras aplicables al presupuesto general de la Unión -versión refundida-

1. De conformidad con el principio de buena gestión financiera, el presupuesto se ejecutará con sujeción a un control interno eficaz y eficiente, adaptado a cada método de ejecución y de conformidad con las normas sectoriales específicas pertinentes.

2. A efectos de la ejecución presupuestaria, el control interno será aplicable en todos los niveles de la gestión y concebido para ofrecer garantías razonables respecto de la consecución de los objetivos siguientes:

a) la eficacia, la eficiencia y la economía de las operaciones;

b) la fiabilidad de la información;

c) la salvaguardia de los activos y la protección de datos;

d) la prevención, detección, corrección y seguimiento de irregularidades, como fraudes, corrupción, conflictos de intereses y doble financiación, también a través del uso voluntario de un sistema de información y seguimiento único, integrado e interoperable, incluida una herramienta de prospección de datos y puntuación de riesgos, proporcionado por la Comisión, y que permita el acceso y la recuperación automática, el registro, el almacenamiento y el análisis, por medios electrónicos, de datos sobre los perceptores de fondos de la Unión, incluidos sus titulares reales, tal como se definen en el artículo 3, punto 6, de la Directiva (UE) 2015/849, de conformidad con las normas sectoriales específicas;

e) la gestión adecuada de los riesgos en materia de legalidad y regularidad de las transacciones correspondientes, teniendo en cuenta el carácter plurianual de los programas y las características de los pagos de que se trate.

3. La eficacia del control interno se basará en las buenas prácticas internacionales e incluirá en particular los elementos siguientes:

a) la separación de funciones;

b) una estrategia adecuada de gestión y control de riesgos que incluya controles a nivel de los perceptores;

c) unas pistas de auditoría adecuadas y la integridad de los datos en los sistemas de datos, incluidos los electrónicos;

d) procedimientos de seguimiento de la eficacia y la eficiencia;

e) procedimientos para el seguimiento de las deficiencias y excepciones detectadas en relación con el control interno;

f) la evaluación periódica del correcto funcionamiento del sistema de control interno.

4. El control interno eficiente estará basado en los elementos siguientes:

a) la ejecución de una estrategia adecuada de control y gestión del riesgo coordinada entre los agentes competentes que participen en la cadena de control;

b) la accesibilidad, para todos los agentes competentes que participen en la cadena de control, de los resultados de los controles;

c) la fundamentación, cuando proceda, en las declaraciones de gestión de los colaboradores en la ejecución, así como en los dictámenes de auditoría independientes, siempre que la calidad del trabajo subyacente sea adecuada y aceptable y que este se haya realizado de conformidad con las normas acordadas;

d) la aplicación en tiempo oportuno de medidas correctoras, incluidas, en su caso, sanciones disuasorias;

e) una legislación clara e inequívoca que fundamente las políticas de que se trate, incluidos actos de base sobre los elementos del control interno;

f) la supresión de la multiplicidad de controles;

g) la mejora de la relación coste-beneficio de los controles.

5. Si, durante la ejecución, el nivel de error es persistentemente elevado, la Comisión determinará las carencias en los sistemas de control, analizará los costes y los beneficios de las posibles medidas correctoras y adoptará o propondrá las medidas necesarias, por ejemplo, la simplificación de las disposiciones aplicables, la mejora de los sistemas de control y la nueva formulación del programa o de los mecanismos para su ejecución.

6. A efectos del apartado 2, letra d), del presente artículo, y sin perjuicio de lo dispuesto en el párrafo segundo del presente apartado, las instituciones y los organismos de la Unión y las personas o entidades que ejecuten el presupuesto con arreglo al artículo 62, apartado 1, pondrán la siguiente información a disposición de la Comisión, de manera electrónica y en un formato interoperable y legible por máquina:

a) sobre el perceptor: toda la información enumerada en el artículo 38, apartado 2, letras a), b) y c), y en el artículo 38, apartado 6, párrafo segundo, y, en el caso de una persona física, también la fecha de nacimiento;

b) sobre la operación: toda la información enumerada en el artículo 38, apartado 2, letras d) y e), así como el identificador único de la operación;

c) sobre el titular o los titulares reales del perceptor, cuando este no sea una persona física: el nombre, los apellidos, la fecha de nacimiento y el número de identificación a efectos del IVA o número de identificación fiscal si se dispone de esta información, u otro identificador exclusivo para el país.

A efectos del presente artículo, cuando los Estados miembros reciban y ejecuten el presupuesto de conformidad con el artículo 62, apartado 1, concederán a la Comisión acceso a la información establecida en el párrafo primero únicamente cuando tengan la obligación de registrar y almacenar dicha información de conformidad con las normas sectoriales específicas. A falta de tal obligación en virtud de las normas sectoriales específicas, los Estados miembros podrán, con carácter voluntario, conceder a la Comisión acceso a la información que obre en su poder a que se refiere el párrafo primero.

La Comisión presentará a finales de 2027 una evaluación del grado de preparación del sistema a que se refiere el apartado 2, letra d), del presente artículo, con respecto a los criterios siguientes:

a) se garantiza la interoperabilidad con los sistemas informáticos y las bases de datos pertinentes, incluidos los de los Estados miembros, de modo que se pueda transferir automáticamente la información pertinente en tiempo real cuando sea posible, y se evite la duplicación de la presentación de información;

b) los indicadores de riesgo que utiliza el sistema a que se refiere el apartado 2, letra d), del presente artículo son suficientemente uniformes, objetivos, proporcionados y necesarios para la evaluación de riesgos y se basan en fuentes de información fiables;

c) el sistema a que se refiere el apartado 2, letra d), del presente artículo permite utilizar la inteligencia artificial para analizar e interpretar datos;

d) el sistema a que se refiere el apartado 2, letra d), del presente artículo cumple los principios generales de protección de datos.

A los efectos de este artículo, por «interoperabilidad» se entenderá la recopilación mínima necesaria de datos y la comunicación entre diversas fuentes para evaluar los datos y los riesgos potenciales de manera efectiva.

Las instituciones y organismos de la Unión, los Estados miembros y las personas o entidades que ejecuten el presupuesto con arreglo al artículo 62, apartado 1, podrán utilizar el sistema a que se refiere el apartado 2, letra d), del presente artículo de forma voluntaria.

7. El sistema a que se refiere el apartado 2, letra d), del presente artículo estará concebido para facilitar la evaluación de riesgos a efectos de la selección, la concesión o adjudicación, la gestión financiera, el seguimiento, la investigación, el control y la auditoría, y contribuirá a la prevención, detección, corrección y seguimiento de irregularidades, como fraudes, corrupción, conflictos de intereses y doble financiación y:

a) utilizará únicamente indicadores de riesgo que sean objetivos, proporcionados, necesarios para la evaluación de riesgos y basados en fuentes de datos e información fiables;

b) estará concebido para su uso en consonancia con los principios generales de la protección de datos -en particular, la minimización de los datos y la limitación del almacenamiento- aplicables al tratamiento de datos personales.

El acceso a los datos tratados mediante el sistema a que se refiere el apartado 2, letra d), del presente artículo se hará de conformidad con las normas aplicables en materia de protección de datos, respetarán los principios de necesidad y proporcionalidad y estarán limitados a las instituciones y los organismos de la Unión que ejecuten el presupuesto, a los Estados miembros que ejecuten el presupuesto con arreglo al artículo 62, apartado 1, párrafo primero, letra b), a los Estados miembros que reciban y ejecuten fondos de la Unión con arreglo al artículo 62, apartado 1, párrafo primero, letra a), a las personas o las entidades que ejecuten el presupuesto con arreglo al artículo 62, apartado 1, párrafo primero, letra c), y a otros organismos de investigación, control y auditoría de la Unión, como la OLAF, el Tribunal de Cuentas y la Fiscalía Europea, en el ejercicio de sus competencias respectivas. Los datos disponibles a través del sistema a que se refiere el apartado 2, letra d), del presente artículo deben ponerse a disposición del Parlamento Europeo y del Consejo caso por caso, en la medida necesaria y proporcionada al ejercicio de sus respectivas competencias, en el marco del procedimiento de aprobación de la gestión presupuestaria de la Comisión.

La Comisión será la responsable del tratamiento en el sentido del artículo 3, punto 8, del Reglamento (UE) 2018/1725 y se encargará de desarrollar, gestionar y supervisar el sistema a que se refiere el apartado 2, letra d), del presente artículo, de garantizar la seguridad, la integridad y la confidencialidad de los datos, de autenticar a los usuarios y de proteger el sistema informático de la mala gestión y el uso indebido.

Los datos se almacenarán durante el período necesario y proporcionado para cumplir el objetivo determinado en el apartado 2, letra d). El plazo de almacenamiento máximo posible no excederá de diez años desde la última solicitud de pago del período presentada a la Comisión.

8. A efectos del apartado 2, letra d), del presente artículo, del artículo 144, apartado 2, y del artículo 147, y además de cualquier norma sectorial específica aplicable, las personas y entidades que ejecuten el presupuesto en virtud del artículo 62, apartado 1, párrafo primero, letra b), y las personas y entidades que ejecuten fondos, cuando el presupuesto se ejecute en virtud del artículo 62, apartado 1, párrafo primero, letra a), con los Estados miembros, transmitirán a la Comisión a través de cualquier canal oficial -como el sistema de información automatizado de la Comisión actualmente en uso para la notificación del fraude y las irregularidades («sistema de gestión de irregularidades»)- información sobre hechos y conclusiones constatados únicamente en el marco de sentencias firmes o decisiones administrativas definitivas con referencia a los motivos establecidos en el artículo 138, apartado 1, letra c), inciso iv), y letra d), cuando tengan conocimiento de dicha información. Para los mismos fines, los Estados miembros transmitirán la información complementaria necesaria solicitada por la Comisión, en particular la información relativa al seguimiento administrativo.

9. Los Estados miembros que reciban y ejecuten fondos de la Unión con arreglo al artículo 62, apartado 1, párrafo primero, letra a), aplicarán los apartados 1 a 7 del presente artículo.

10. A efectos de la aplicación de los requisitos de los apartados 2, 3 y 6 del presente artículo por parte de los Estados miembros que ejecuten el presupuesto con arreglo al artículo 62, apartado 1, párrafo primero, letra b), las referencias a los perceptores se entenderán según lo dispuesto en el artículo 38, apartado 1, párrafo segundo.

11. En el marco de su estrategia de control, la Comisión, según proceda, diseñará y llevará a cabo controles y auditorías que hagan uso de herramientas informáticas automatizadas y tecnologías emergentes.