Departament Kontroli i Audytu przeprowadził zgodnie z Planem kontroli zewnętrznych na 2019 r., kontrolę w okresie od 1 czerwca do 30 września 2019 r., w trybie określonym w przepisach ustawy z dnia 15 lipca 2011 r. o kontroli w administracji rządowej. Podstawę prawną przeprowadzenia kontroli stanowił art. 36 ust. 1 ustawy z dnia 30 kwietnia 2010 r. o instytutach badawczych.

Zakres kontroli, oprócz zagadnień określonych w art. 36 ust. 2 ustawy o instytutach badawczych, tj. działalności finansowej instytutu; organizacji i jakości pracy instytutu oraz jakości zarządzania instytutem, obejmował również dwa obszary wskazywane jako priorytetowe przez Kancelarię Prezesa Rady Ministrów, tj. bezpieczeństwo teleinformatyczne i ochronę danych osobowych.

Działalność Instytutu w zakresie objętym kontrolą została oceniona pozytywnie z uchybieniami. Pozytywnie oceniono trzy obszary związane z: organizacją i jakością pracy, jakością zarządzania oraz ochroną danych osobowych. Ocenę tę uzasadniały: stabilna sytuacja finansowa Instytutu i zdolność regulowania swoich zobowiązań; zrealizowanie w ramach prowadzonej działalności badawczo-rozwojowej w 2018 r. 99 projektów, 15 prac własnych finansowanych ze środków własnych, 53 ekspertyz; przyznanie przez Urząd Patentowy 9 patentów, a także wdrożenie Programu Operacyjnego Infrastruktura i Środowisko 2014-2020. Działalność  normalizacyjną Instytut realizował poprzez opracowywanie m.in. Polskich Norm wprowadzających Normy Europejskie i Międzynarodowe, jak również Polskich Norm własnych (łącznie opracował w 2018 r. 91 norm). Ponadto, w Instytucie prawidłowo opracowano i przestrzegano Politykę bezpieczeństwa oraz procedury dotyczące ochrony danych osobowych.

Uchybienia stwierdzono w dwóch obszarach. W zakresie działalności finansowej za uchybienia uznano:  opisywanie dowodów księgowych niezgodnie z wewnętrznymi regulacjami (brakowało pieczątek „sprawdzono pod względem merytorycznym”; na fakturach zatwierdzonych do wypłaty akceptacja Dyrektora INiG i Głównego Księgowego następowała po dacie płatności; brak było opisu merytorycznego na biletach kolejowych; powoływano się na nieobowiązujące akty prawne) oraz nieprzestrzeganie ustalonych w regulaminach wewnętrznych zasad zawierania umów cywilnoprawnych przez różne komórki INiG (brak było korelacji pomiędzy zapisami w różnych procedurach Zintegrowanego Systemu Zarządzania, na podstawie których poszczególne komórki zawierały umowy cywilnoprawne).

Natomiast, w obszarze bezpieczeństwa teleinformatycznego kontrola wykazała brak dokumentacji dotyczącej sposobu zarządzania ryzykiem w obszarze bezpieczeństwa informatycznego oraz niespełnianie przez stronę internetową Instytutu wymagań WCAG 2.0 w zakresie dostępności informacji dla osób niepełnosprawnych.

Biorąc pod uwagę ustalenia kontroli sformułowano następujące zalecenia pokontrolne:

• opisywanie dokumentów finansowo-księgowych zgodnie z wprowadzonymi uregulowaniami  wewnętrznymi i przepisami prawa,
• zaktualizowanie zapisów Instrukcji Obiegu Dokumentów w kontekście przywoływanych aktów prawnych,
• ujednolicenie przepisów wewnętrznych w zakresie zasad i trybu zawierania umów cywilnoprawnych przez komórki INiG,
• sporządzenie dokumentacji zarządzania ryzykiem w obszarze bezpieczeństwa informacji,
• dostosowanie strony internetowej Instytutu do wymagań WCAG 2.0 w zakresie dostępności dla osób niepełnosprawnych.