Informe de fiscalización de la Agència Tributària Valenciana. Ejercicio 2020
València, 2 de diciembre de 2021.- La Sindicatura de Comptes ha revisado el control interno y los sistemas de información de la Agencia Tributaria Valenciana (ATV o la Agencia) que dan soporte a la gestión de los ingresos tributarios del ejercicio 2020 y ha proporcionado una evaluación sobre su diseño, eficacia operativa y sobre el cumplimiento de la normativa básica relativa a la seguridad de la información.
En relación con el control interno en el proceso de gestión tributaria, hemos concluido que, excepto por las deficiencias de control señaladas en el Informe, el nivel de control existente aporta un nivel de confianza razonable para garantizar que las transacciones y datos relativos a los ingresos tributarios por el ITP y AJD gestionados por la ATV y contabilizados en la Cuenta de la Administración de la Generalitat son completos, exactos, válidos y cumplen con la normativa en su gestión.
La deficiencia más destacada que hemos observado es la insuficiencia del marco de control interno formalizado por la ATV sobre la actividad de los centros gestores, orientado a mitigar riesgos como el de prescripción de derechos e incumplimientos de plazos establecidos por la normativa de aplicación.
La revisión de los controles generales de tecnologías de la información relativos a los accesos lógicos a los sistemas de información y a la disponibilidad de los datos y sistemas ha puesto de manifiesto la existencia de determinados riesgos significativos no cubiertos por controles efectivos, que se detallan en el Informe. Los aspectos que requieren la adopción con carácter prioritario de las correspondientes medidas correctoras son los siguientes:
- La gestión de usuarios y privilegios de las aplicaciones TIRANT (aplicación que sustenta la práctica totalidad del proceso de gestión de tributos) y ADTIRANT (aplicación utilizada para administrar aspectos críticos de TIRANT) no están adecuadamente limitados, lo que representa un riesgo alto para la seguridad de los datos y aumenta la probabilidad de que existan conflictos de segregación de funciones, lo que a su vez incrementa el riesgo de fraude.
- Se ha identificado la existencia de sistemas con versiones obsoletas y que se encuentran fuera del periodo de soporte del fabricante. Esta situación incrementa el riesgo de que se produzca un incidente de seguridad, además de limitar la posibilidad de utilizar la plataforma tecnológica NICA, que cuenta con medidas de seguridad y resiliencia más completas y avanzadas.
- La política de copia de seguridad, en la que se definen alcance y periodicidad de las copias, así como tiempo de retención de la información, se encuentra en estado de borrador desde la fecha de su elaboración (noviembre de 2019). Del mismo modo, el plan de recuperación de sistemas del CPD CA90 se encuentra en estado de borrador desde febrero de 2019.
- La ATV no dispone de un plan de continuidad, orientado a recuperar su actividad tras la ocurrencia de una contingencia que afectase al curso normal de sus operaciones.
La revisión del cumplimiento de la normativa en materia de seguridad de la información ha puesto de manifiesto los progresos realizados por la Agencia con respecto a la situación detectada en la auditoría del ejercicio 2019. No obstante, es necesario seguir avanzando en esta materia, pues todavía existen incumplimientos significativos y los órganos de dirección de la Agencia deben apoyar de forma continuada las iniciativas en curso destinadas a ello. En concreto, la ATV llevó a cabo durante el año 2020 un proyecto de adecuación a la normativa de protección de datos y ha implementado la mayoría de las acciones correctoras propuestas, si bien queda pendiente acometer determinadas acciones con el fin de alcanzar la plena alineación con esta normativa. Con respecto al ENS, la Agencia adjudicó en el mes de octubre de 2021 un contrato para realizar la consultoría de adecuación al ENS, trabajo que está previsto iniciar antes de que acabe el año.
Respecto al control formal de la rendición de cuentas, hemos concluido que la información que contienen las cuentas anuales del ejercicio 2020 y su presentación son conformes con la normativa que resulta de aplicación.
En cuanto al control de los ingresos de la Generalitat gestionados por la Agencia contemplado en el Plan Anual de Control Financiero Permanente para el ejercicio 2020, relativo a la razonabilidad legal y financiera de la gestión efectuada en torno a anulaciones, devoluciones, prescripciones, aplazamientos y fraccionamientos y suspensiones, cabe señalar que únicamente hemos dispuesto del correspondiente a la provincia de Valencia.
En el informe realizamos varias recomendaciones tendentes a subsanar las deficiencias de control interno observadas tanto en el proceso de gestión tributaria como en la revisión de los controles generales de tecnologías de la información.
Para ver el informe completo, haga clic aquí.
NOTA
Este resumen pretende ayudar a comprender los resultados de nuestro informe y facilitar el trabajo a los lectores y a los medios de comunicación. Recomendamos leerlo para conocer el verdadero alcance del trabajo realizado.
