Decizie CNSC BO2017_4276

CONSILIUL NAŢIONAL DE SOLUŢIONARE A CONTESTAŢIILOR C. N. S. C. Str. Stavropoleos nr. 6, Sector 3, Bucureşti, România, CP 030084, CIF 20329980 Tel. +4 021 3104641 Fax. +4 021 3104642; +4 021 8900745, www.cnsc.ro În conformitate cu prevederile art. 14 alin. (2) şi ale art. 27 alin. (1) din Legea nr. 101/2016 privind remediile şi căile de atac în materie de atribuire a contractelor de achiziţie publică, a contractelor sectoriale şi a contractelor de concesiune de lucrări şi concesiune de servicii, precum şi pentru organizarea şi funcţionarea Consiliului Naţional de Soluţionare a Contestaţiilor, Consiliul adoptă următoarea DECIZIE Nr. ........./........./......... Data: ......... Prin contestaţia nr. ........./........., înregistrată la Consiliu cu nr. ........./........., formulată de S.C. ......... S.R.L., cu sediul în ........., str. ……., judeţul ........., înmatriculată la Oficiul Registrului Comerțului sub nr. ........., având CIF ........., atribut fiscal RO, reprezentată convenţional prin ………, cu sediul ales în vederea comunicării actelor de procedură în ........., str. ……., împotriva adresei nr. ……. din 20.06.........., emisă de către ......... S.A., cu sediul în ........., str. ……, ........., în calitate de autoritate contractantă, în cadrul procedurii interne de selecţie de oferte, organizată în vederea încheierii acordului- cadru de servicii având ca obiect „Servicii de pază şi monitorizare”, coduri CPV 79713000-5, 79715000-9, s-a solicitat anularea adresei nr. ………, reevaluarea ofertei de la etapa aplicării punctajului, anularea în parte a raportului procedurii în ceea ce privește evaluarea ofertei și măsura de anulare a procedurii de atribuire. CONSILIUL NAŢIONAL DE SOLUŢIONARE A CONTESTAŢIILOR, asupra cauzei de faţă, constată următoarele: Consiliul a fost legal sesizat şi este competent, potrivit dispoziţiilor art. 12 alin. (1) din Legea nr. 101/2016, să soluţioneze contestaţia de față, prin care ofertantul S.C. ......... S.R.L. contestă adresa nr. …….. din 20.06.........., emisă de către ......... S.A. În preambulul contestaţiei, autoarea contestației a prezentat un scurt istoric al procedurii, menţionând că la data de 20.06.......... i s-a comunicat rezultatul procedurii, potrivit căruia oferta sa a fost declarată 1

inacceptabilă, întrucât nu a îndeplinit cerința minimă de calificare CMO110 prevăzută în documentația de atribuire. Decizia de respingere a ofertei societății contestatoare ca inacceptabilă, în opinia contestatorului încalcă hotărârile definitive anterioare prin care s-a statuat cu autoritate de lucru judecat admisibilitatea ofertei și, de asemenea, actele anterioare emise chiar de către autoritatea contractantă. Autoarea contestației precizează că autoritatea contractantă a declarat oferta ca admisibilă în toate etapele de evaluare începând cu data de 28.01.2016. Astfel, în data de 28.01.2016, s-a finalizat evaluarea admisibilității ofertei și decizia de admisibilitate fiind confirmată în toate rapoartele procedurii emise ulterior. În consecință, contestatorul solicită dispunerea anulării rezultatului procedurii comunicat, în condițiile în care, în etapele de evaluare anterioare, s-a constatat autoritatea de lucru judecat, respectiv admisibilitatea ofertei. Referitor la modul nelegal în care a fost evaluată oferta, societatea contestatoare menționează că, în cadrul documentației de atribuire, autoritatea contractantă a formulat o cerință minimă precizată în fișa de date a achiziției: secțiunea III.2.3.b) Standarde de asigurare a calității, „Ofertantul trebuie să prezinte dovada auditării sistemului său informatic inclusiv raportul auditorului privind ținerea sub control a proceselor, prevenirea și detectarea erorilor și a fraudelor, managementul informaţiilor etc. De asemenea, ofertanţii vor depune în mod obligatoriu și copie a Manualului sistemului de management Integrat - Calitate – Mediu”, care a fost reluată și în cadrul caietului de sarcini cap. 5 – cerințe minime, cerință „CMO110”. Un sistem informatic este un sistem utilizator-calculator integrat, care furnizează informaţii pentru a sprijini activitățile de la nivel operaţional și activitățile de management într-o organizaţie, utilizând echipamente hardware și produse software, proceduri manuale, o bază de date și modele matematice pentru analiză, planificare, control și luarea deciziilor. În opinia contestatorului, obiectivul principal urmărit prin introducerea unui sistem informatic îl constituie asigurarea conducerii cu informaţii reale și în timp util, necesare fundamentării și elaborării operative a deciziilor. Prin urmare, un sistem informatic implică atât partea umană, cât și partea tehnică, componente care au fost avute în vedere de contestator la întocmirea ofertei. S.C. ......... S.R.L. precizează că, în cadrul ofertei, a prezentat o serie de documente menite să asigure îndeplinirea cerinței din documentația de atribuire. De asemenea, a răspuns solicitărilor de clarificări transmise de autoritatea contractantă prin adresele nr. ……./03.05.......... și nr. ………./12.05........... 2

În urma analizării documentelor depuse și a răspunsurilor la solicitarea de clarificări, autoritatea contractantă a considerat că nu a fost îndeplinită cerința minimă solicitată. Contestatorul consideră că autoritatea contractantă și-a însușit punctul de vedere al expertului cooptat, Isotrad Consulting S.R.L. Analizând punctul de vedere al expertului cooptat, societatea contestatoare constată că acesta se află într-o gravă eroare de interpretare și de înţelegere a unor concepte tehnice, în sensul în care acesta a afirmat despre o certificare obținută în conformitate cu un standard european că aceasta reprezenta „o certificare formală a unui sistem de management”. Autoarea contestației precizează că un standard reprezintă un document care stabileşte anumite cerinţe, specificaţii, caracteristici ce pot fi utilizate pentru a se asigura că procesele, produsele și serviciile sunt conforme și adecvate scopului lor. Prin urmare, prin raportare la oferta depusă, nu doar că aceasta a prezentat un raport de audit, dar raportul de audit a fost aprobat de o instituţie cu recunoaştere la nivel mondial. Prin intermediul unei certificări ISO 27001, compania se asigură că s-au aplicat cele mai bune practici de planificare, instalare, configurare, utilizare și întreţinere a sistemelor informaţionale. Autoritatea contractantă, în documentaţia de atribuire, nu a solicitat în mod expres prezentarea unei certificări ISO 27001. De asemenea, nici nu a limitat tipul de documente ce ar fi trebuit prezentate de operatorii economici participanți la procedură pentru îndeplinirea cerinței în cauză. Contestatorul consideră că respingerea ofertei și declararea acesteia ca fiind inacceptabilă doar pentru simplul fapt că documentul prezentat de ofertant nu a corespuns ca tip de document aşteptărilor expertului cooptat ori a comisiei de reevaluare, presupunând că aceasta și-a asumat opinia expertului cooptat în deplina cunoştinţă de cauză, nu poate constitui un motiv de respingere a ofertei. Interpretarea subiectivă a cerinţelor documentaţiei de atribuire de către expertul cooptat nu poate fi imputată societății contestatoare, în condiţiile în care documentele prezentate probează întocmai cerinţa stabilită de autoritatea contractantă, respectiv „dovada auditorii sistemului sau informatic inclusiv raportul auditorului privind ținerea sub control a proceselor, prevenirea și detectarea erorilor și a fraudelor, managementul informaţiilor etc.” În lipsa unei precizări clare cu privire la tipul de document ce ar fi trebuit prezentat, contestatorul a considerat a fi oportun a prezenta o certificare recunoscută la nivel mondial, care să asigure îndeplinirea cerinţei minime a caietului de sarcini și care să corespundă scopului serviciilor ce fac obiectul contractului de achiziţie. 3

De asemenea, contestatorul consideră că interpretarea subiectivă a cerinței minime de către expertul cooptat a reieșit și din maniera în care acesta și-a justificat punctul de vedere: „[...] iar autoritatea contractantă nu a dorit un certificat ci o dovadă clară funcţionalităţii și siguranţei tehnice a sistemului informatic". Față de cele menționate anterior, contestatorul susține că acea cerință nu se regăsea niciunde în cadrul documentației de atribuire. Cerinţa din cadrul documentaţiei de atribuire a fost următoarea: „dovada auditorii sistemului sau informatic” or, interpretarea expertului cooptat a fost complet diferită de cerinţa caietului de sarcini. În continuare, pasaje din răspunsul expertului cooptat a determinat societatea contestatoare să considere că acesta a interpretat greşit cerinţele caietului de sarcini sau a făcut evaluarea raportându-se la alte cerinţe, inexistente la nivelul documentaţiei, bazându-și punctul de vedere pe o ipoteza, acesta neștiind ce presupune efectuarea unui audit conform ISO 27001. Astfel, în cadrul cerinţei CM0110 nu a fost menţionată sintagma „îndeplinirea unor cerinţe tehnice" și nici nu a rezultat din context că a fost solicitat un audit exclusiv tehnic. Afirmaţia „întrucât nu era interesată de o certificare formală a unui sistem de management" a fost contrazisă chiar de enunţul cerinţei iniţiale: „Presatorul trebuie să prezinte dovada auditorii sistemului sau informatic inclusiv raportul auditorului privind ținerea sub control a proceselor, prevenirea și detectarea erorilor și a fraudelor, managementul informaţiilor, etc." În cuprinsul „Puctului de vedere al expertului cooptat privind răspunsul transmis de ......... S.R.L.” s-a făcut referire la „audit tehnic privind sistemul Informatic", acest lucru fiind incorect în raport cu cerinţa iniţială în care formularea a fost „auditul sistemului informatic”, nerezultând de nicăieri că se dorește exclusiv o auditare tehnică. În ceea ce priveşte afirmaţia că standardul ISO/IEC 27001 nu are nicio componentă tehnică este falsă în opinia societății contestatoare, în condiţiile în care Anexa A a standardului a prezentat un set de măsuri de control (majoritatea tehnice) pe care societatea contestatoare le-a implementat conform declaraţiei de aplicabilitate. Afirmaţia expertului cooptat „Autoritatea contractantă a dorit să se asigure că ofertanta are un sistem informatic eficient și sigur, testat periodic printr-un audit tehnic, respectiv auditul sistemului informatic" a fost eronată, autoritatea contractantă solicitând doar „auditul sistemului informatic" fără a detalia nivelul tehnic pe care îl dorea. De asemenea, afirmaţia expertului cooptat conform căreia „auditul informatic (sau auditul IT) reprezintă o analiză aprofundată a sistemului informatic dintr-o instituţie, fiind un instrument care evaluează eficiența și eficacitatea utilizării resurselor IT (hardware si software), sau îndeplinirea unor criterii relevante pentru atingerea obiectivelor 4

organizaţiei" a fost, în opinia contestatorului, total ¡relevantă pentru că autoritatea contractantă nu a definit în niciun fel auditul sistemului informatic, așa că orice definire ulterioară a acestuia este nelegală. Din prevederile art. 170 din O.U.G. nr. 34/2006 rezultă caracterul imperativ al regulilor stabilite prin documentaţia de atribuire atât pentru ofertanţi cât și pentru autoritatea contractantă, care avea obligaţia să aplice cerinţele documentaţiei de atribuire întocmai cum au fost stabilite, fără să le modifice ulterior depunerii ofertelor. În ceea ce priveşte afirmaţia expertului cooptat „auditarea măsurilor tehnice de securitate IT este guvernată de standarde internaționale precum: standardele ISACA pentru auditul sistemelor informatice”, contestatorul consideră că aceasta a fost subiectivă, vagă și incompletă, autoritatea contractantă nespecificând niciun astfel de model pentru a fi folosit în auditarea sistemului informatic. Prin urmare, în lipsa unor precizări explicite formulate la nivelul documentaţiei, contestatorul nu consideră că evaluarea ar trebui să se raporteze la punctul de vedere, subiectiv de altfel, al expertului cooptat, ci la cerinţele formulate în documentaţia de atribuire. Referitor la modul în care societatea contestatoare a îndeplinit cerinţa CMO 110 din documentaţia de atribuire, contestatorul învederează faptul că a prezentat atât în cadrul ofertei depuse la această procedură, cât și în cele două răspunsuri la solicitare clarificări, mai multe lămuriri. Se mai precizează faptul că auditarea sistemului informatic al S.C. ......... S.R.L. nu a fost formală, având la bază stabilirea, implementarea, urmărirea și menţinerea unor proceduri care au fost parte integrantă a unui sistem informatic pe perioada aprilie 2010 - aprilie 2016 și în continuare. Sistemul informatic al S.C. ......... S.R.L. a fost inclus în procedurile de implementare și menţinere a Standardelor ISO/CEI 27001:2005 (SR ISO/CEI 27001:2006) și a cuprins mai multe componente. Astfel, S.C. ......... S.R.L. a implementat un sistem informatic eficient și sigur, testat periodic printr-un audit tehnic, conform standardelor impuse de managementul informaţiilor. Față de toate considerentele anterior învederate, rezultă că societatea contestatoare a îndeplinit întocmai cerinţa CMO110, susţinerile autorităţii contractante fiind vădit nefondate. În concluzie, față de toate considerentele anterior menționate, contestatorul solicită admiterea contestației așa cum aceasta a fost formulată. În drept, S.C. ......... S.R.L. invocă dispoziţiile Legii nr. 101/2016, Ordonanţa de urgență a Guvernului nr. 34/2006, Hotărârea Guvernului nr. 925/2006. Prin adresa nr. …../12.07.........., înregistrată la Consiliu cu nr. ……/12.07.........., autoritatea contractantă a transmis punctul de vedere 5

asupra contestaţiei depusă de S.C. ......... S.R.L., în care consideră contestația neîntemeiată pentru următoarele motive: În conţinutul punctului de vedere, autoritatea contractantă prezintă un scurt istoric al procedurii arătând că prima critica a societăţii contestatoare este neîntemeiată, întrucât nu a existat nicio decizie CNSC sau hotărâre judecătorească, prin care să fi statuat cu sau fără autoritate de lucru judecat, admisibilitatea vreuneia dintre ofertele depuse de candidate în cursul procedurii interne. În ceea ce priveşte cea de a doua critică a societăţii contestatoare, autoritatea contractantă menţionează că niciuna dintre cele două candidate nu a prezentat vreo dovadă a auditării sistemelor informatice utilizate, inclusiv raportul auditorului privind ţinerea sub control a proceselor, prevenirea şi detectarea erorilor şi a fraudelor, managementul informaţiilor etc, la data depunerii ofertelor şi nici măcar după ce le-au fost comunicate solicitările de clarificări, în acest sens, în cursul procedurii de reevaluare. Referitor la susţinerile contestatorului potrivit cărora ar fi făcut proba îndeplinirii cerinţei minime obligatorii CMO 110 prin certificatul seria SI nr. 00029 rev.1, acordat de ……… la 12 aprilie 2010, autoritatea cotractantă precizează că certificarea Sistemului de Management al Securităţii Informaţiei nu este şi nu se confundă cu auditarea sistemelor informatice şi/sau cu raportul auditorului privind ţinerea sub control a proceselor etc, prin certificatul anterior menţionat ……. a certificat Sistemul de Management al Securităţii Informaţiei stabilit, implementat şi menţinut în cadrul ......... conform cerinţelor standardului ISO/CEI 27001:2005 (SR ISO/CEI 27001:2006). Astfel, certificatul ISO/CEI 27001:2005 (SR ISO/CEI 27001:2006) depus ......... nu doar că nu era şi nu poate fi asimilat dovezii auditării sistemului său informatic şi/sau raportului auditorului privind ţinerea sub control a proceselor etc, dar acesta nu a fost valid nici măcar ca dovadă a auditării Sistemului de Management al Securităţii Informaţiei, la 12 ianuarie 2016, data depunerii de către contestator a ofertei, şi cu atât mai puţin în ......... - când au avut loc solicitările de clarificări şi răspunsurile la acestea din cursul procedurii de reevaluare. Autoritatea contractantă consideră că propunerea tehnică nu este şi nu poate fi asimilată dovezii auditării sistemului informatic şi/sau vreunui raport de audit. Declaraţiile de intenţii, principiile enunţate şi/sau fotografiile agenţilor, vehiculelor sau clădirilor aparţinând sau utilizate de ......... nu pot suplini documentaţia specifică solicitată, în mod expres şi explicit, de autoritatea contractantă pentru a fi depusă în dovedirea îndeplinirii unei cerinţe calificate în documentaţia procedurii ca minime obligatorii. Raportul de audit întocmit de ………., la 18 aprilie 2015 - anterior încetării valabilităţii certificatului depus de ......... nu este o dovadă a auditării sistemelor informatice şi, respectiv, un raport al auditorului 6

privind ţinerea sub control a proceselor, prevenirea şi detectarea erorilor şi a fraudelor, managementul informaţiilor etc, ci dovada îndeplinirii procedurii de auditare în vederea certificării Sistemului de Management al Securităţii Informaţiilor (S.M.S.I.), pentru menţinerea, la acea dată, a Certificatului ISO/CEI 27001:2005 (SR ISO/CEI 27001:2006), a cărui valabilitate a încetat la 1 octombrie 2015. Astfel, în urma analizării Raportului de audit întocmit de ………., având ca referinţă ISO/CEI 27001:2005 (la data întocmirii, la fel ca şi la data depunerii ofertei, ......... nefiind certificată ISO-CEI 27001:2013), atât comisia de reevaluare, cât si expertul cooptat nu au găsit în cuprinsul acestuia vreo informaţie referitoare la auditarea sistemului informatic al societăţii contestatoare. Totodată, la capitolul 4 din raport „Sistemul de management”, la punctul 4.4 „Identificarea proceselor” nu a fost bifată nicio stare, de unde se putea deduce că acestea nu au fost definite sau că demersul de „auditare” a fost unul pur formal, ceea ce contravine, în mod vădit, interesului concret al autorităţii contractante, întreprindere de interes strategic naţional, având în vedere că asigură serviciile de alimentare cu apă şi canalizare în Municipiul ........., printre beneficiari fiind inclusiv autorităţile şi instituţiile publice naţionale, dar şi aprox. 10% din populaţia ţării. Raportul de audit nu a fost întocmit ca urmare a auditării sistemului informatic al contestatorului ci, cel mult, al Sistemului de Management al Securităţii Informatice. Mai mult, chiar și această auditare s-a făcut în vederea menţinerii Certificatului ISO/CEI 27001:2005 (SR ISO/CEI 27001:2006), a cărui valabilitate a încetat la 1 octombrie 2015. Totodată, obiectivele auditului, menţionate pe prima pagină a raportului sunt: „Supraveghere/survailance, menţinerea şi îmbunătăţirea sistemului de management implementat”, şi nu sistemul informatic. De asemenea, în raport a fost bifată cerinţa „Continuarea certificării şi/sau recertificarea este recomandată”. Or, potrivit Adresei nr. 1947 din 10 iulie ........., emisă de …., organismul de certificare a confirmat că ......... a fost recertificată și a obţinut certificatul valid conform SR ISO/CEI 27001:2013 abia la 8 aprilie 2016, adică mult după lansarea procedurii interne şi depunerea ofertei de către contestator. Ulterior, prin adresa înregistrată la CNSC sub nr. …../24.07.........., autoritatea contractantă a transmis concluzii scrise cu privire la criticile contestatoarei, menținându-și punctul de vedere exprimat anterior. Prin adresa nr. ………./.........-........./17.07.........., Consiliul a invitat contestatorul să consulte documentele aflate în dosarul cauzei nr. ........./.......... Ulterior studierii dosarului achiziției publice la sediul Consiliului, S.C. ......... S.R.L. a formulat concluzii scrise, în data de 25.07.......... prin adresa nr. 1186, înregistrată la Consiliu cu nr. ………./25.07.........., 7

a transmis „concluzii scrise” prin care a solicitat cele menţionate în partea introductivă a deciziei şi respingerea ca nefondate şi netemeinice a susţinerilor autorităţii contractante din cuprinsul punctului de vedere. Din documentele depuse de părţi şi din susţinerile acestora, Consiliul constată următoarele: ......... S.A., în calitate de autoritate contractantă, a organizat o „procedură internă de selecţie a ofertei”, în vederea încheierii acordului- cadru de servicii având ca obiect „Servicii de pază şi monitorizare”, coduri CPV 79713000-5, 79715000-9, tip de finanţare: „Fonduri proprii”. În acest sens, a elaborat documentaţia de atribuire, potrivit căruia valoarea estimată a contractului, fără TVA, este de 48.000.000 lei, echivalentul a 10.666.666 euro, criteriul de atribuire stabilit fiind „oferta cea mai avantajoasă din punct de vedere economic”. Anterior, pe rolul Consiliului, s-a aflat dosarul nr. ……/2016. Prin Decizia nr. ………/........./…… din 03.03.2016, Consiliul a respins contestaţia formulată de S.C. ......... S.R.L. şi a dispus continuarea procedurii de atribuire. Ulterior, S.C. ......... S.R.L. a formulat plângere la Curtea de Apel ........., fiind admisă în parte plângerea prin Decizia nr. ….. din data de 14.04.2016, pronunţată în dosarul nr. ......... De asemenea, pe rolul Consiliului s-au aflat dosarele nr. 1339 și nr. 1356/2016. Prin Decizia nr. …….. din 18.07.2016, Consiliul a respins ca prematur formulată contestația nr. …../17.06.2016 depusă de S.C. ......... S.R.L., a admis contestaţia nr. ……../23.06.2016, formulată de către S.C. ......... S.R.L., iar pe cale de consecinţă, a respins cererea de intervenţie formulată de S.C. …………. S.R.L., a anulat raportul procedurii şi adresele de comunicare a rezultatului procedurii, ca acte subsecvente ale raportului procedurii și a obligat autoritatea contractantă, ca în termen de 10 zile de la primirea deciziei Consiliului, să reanalizeze şi să reevalueze oferta contestatorului și a câștigătorului, cu respectarea Deciziei Curții de Apel ......... și a celor precizate în motivare şi a dispoziţiilor legale. De asemenea, pe rolul Consiliului, s-a aflat dosarul nr. ……../2016. Prin Decizia nr. …… din 06.09.2016, Consiliul a respins ca nefondată contestația formulată de S.C. ......... S.R.L. Ulterior, S.C. ......... S.R.L. a formulat plângere la Curtea de Apel ........., fiind admisă plângerea prin Decizia nr. ……. din data de 29.09.2016, pronunţată în dosarul nr. ……….. Împotriva măsurii de anulare a procedurii comunicată în data de 22.11.2016, S.C. ......... S.R.L. a formulat contestație la CNSC, fiind admisă prin Decizia nr. ……… iar prin Decizia Civilă nr. ……… instanța de judecată a respins plîngerea formulată de autoritatea contractantă. Procedura a fost organizată de autoritatea contractantă în temeiul dispoziţiilor art. 16 alin. (1) din OUG nr. 34/2006, cu modificările şi completările ulterioare, care dispune că „în cazul în care autoritatea 8

contractantă atribuie un contract ce are ca obiect prestarea de servicii din categoria celor incluse în anexa nr. 2B, atunci obligaţia de a aplica prezenta ordonanţă de urgenţă se impune numai pentru contracte a căror valoare este mai mare sau egală cu cea prevăzută la art. 57 alin. (2) şi se limitează la prevederile art. 35-38 şi art. 56 şi la aplicarea pe tot parcursul procedurii de atribuire a principiilor prevăzute la art. 2 alin. (2). Contestaţiile privind procedura de atribuire a contractelor de servicii din categoria celor incluse în anexa nr. 2B, a căror valoare este egală sau mai mare decât cea prevăzută la art. 57 alin. (2), se soluţionează potrivit dispoziţiilor cap. IX”. Potrivit proceselor-verbale nr. ………./13.01.2016 şi nr. ……../13.01.2016, al şedinţelor de deschidere şi negociere, au depus oferte, un număr de 2 operatori economici. În urma reanalizării şi reevaluării ofertelor depuse, urmare Deciziei Civile nr. 927/........., ofertele depuse de S.C. ......... S.R.L. și S.C. ……… S.R.L. au fost declarate inacceptabile. Ca urmare, autoritatea contractantă a decis anularea procedurii de atribuire, în temeiul prevederilor art. 209 alin. (1) lit. a) din O.U.G. nr. 34/2006, toate aceste aspecte fiind consemnate în Raportul procedurii nr. …………./20.06........... Ulterior reevaluării ofertelor şi recomunicării rezultatului procedurii de către autoritatea contractantă, pentru motivele evocate anterior, S.C. ......... S.R.L. a depus la Consiliu contestaţia de faţă. Analizând criticile formulate de către societatea contestatoare în discuţie, Consiliul constată că acestea vizează în principal aspecte legate de modul în care comisia de evaluare a analizat şi apreciat oferta depusă de acesta şi de faptul că autoritatea contractantă a luat decizia de a anula procedura de atribuire. În calitate de participant la procedură, contestatorul a primit adresa de comunicare a rezultatului procedurii în care autoritatea contractantă a menţionat că oferta acestuia a fost declarată inacceptabilă, în baza art. 36 alin. (1) lit. b) din H.G. nr. 925/2006, deoarece „nu a îndeplinit cerinţa minimă obligatorie de calificare CMO 110, pentru considerentele expuse şi explicitate de către expertul cooptat”. Având a verifica temeinicia motivelor de respingere a ofertei contestatorului, Consiliul constată următoarele: Raportându-se la aplicarea pe tot parcursul procedurii a principiilor prevăzute la art. 2 alin. (2) din OUG nr. 34/2006, Consiliul reţine că această contestaţie vizează rezultatul procedurii, fiind formulate critici cu privire la faptul că oferta a fost declarată inacceptabilă, deși până la acest moment a fost considerată admisibilă, și la faptul că procedura a fost anulată. Prin Decizia civilă nr. ………../......... din 1 martie ........., pronunţată de Curtea de Apel .........-Secţia a Vlll-a Contencios Administrativ şi Fiscal, în dosarul nr. ………… instanţa a respins plângerea formulată de ......... 9

S.A., în contradictoriu cu ofertanta ......... S.R.L., împotriva Deciziei C.N.S.C. nr. ………/........./......... din 4 ianuarie .......... Pentru a hotărî astfel, Curtea a reţinut, printre altele, următoarele: „... se justifică pe deplin şi împrejurarea că prin decizia contestată în cauza de faţă (nr. 10/........./........./04.01..........) CNSC a anulat raportul procedurii de reevaluare numai în ceea ce priveşte decizia de anulare a procedurii, fără să mai dispună reevaluarea ofertelor, fiind evident că nu putea să se pronunţe asupra unei evaluări care nu producea nici un efect juridic (şi care deci este considerată ca inexistentă) şi care oricum nu fusese contestată de .......... Ca atare, obligaţia de evaluare a ofertelor nu va decurge din decizia CNSC din 04.01.........., ci direct din decizia CNSC din 18.07.2016, dublată de decizia civilă nr. ………./29.09.2016 a Curţii de Apel .........-secţia a Vlll-a”. Prin Decizia nr. ………. din 18 iulie 2016, C.N.S.C. a obligat autoritatea contractantă „... ca în termen de 10 zile de la primirea deciziei Consiliului, să reanalizeze şi să reevalueze oferta contestatorului şi a câştigătorului, cu respectarea Deciziei Curţii de Apel ......... şi a celor precizate în motivare şi a dispoziţiilor legale”. Pentru a decide astfel, C.N.S.C. a reţinut, printre altele, că „nimic nu împiedica autoritatea contractantă să reevalueze, în tot, ofertele depuse şi să găsească şi alte motive de respingere a ofertei. Mai mult, în urma derulării procesului de reevaluare a ofertelor pot fi descoperite şi alte neconformităţi ale ofertelor depuse, însă important este să nu fie neglijate cele constatate la prima evaluare. Din analiza deciziei Curţii, nu transpare de nicăieri în corpul acesteia că aceasta ar fi interzis reevaluarea completă a ofertei petentei şi să limiteze reevaluarea doar la cele 2 motive de respingere, constatate la prima evaluare. Cum Curtea nu a interzis evaluarea totală a respectivelor oferte, autorităţii contractante nu numai că îi era permisă, ci îi era chiar impusă de lege. Nu se putea declara o ofertă admisibilă şi ulterior câştigătoare ştiindu-se că ea nu respectă unele condiţii impuse în documentaţia de atribuire, sub pretextul că nu s-ar mai putea verifica acele condiţii, dat fiind că în urma primei evaluări, acestea au fost apreciate ca fiind îndeplinite de contestator. Nu intră în competenţa Curţii să interzică autorităţii contractante reevaluarea totală legală a calificării ofertantului şi a conformităţii ofertei sale, întrucât ar însemna să interzică autorităţii să îşi îndeplinească obligaţiile pe care i le atribuie legislaţia pe linie de achiziţii publice şi pentru care ea răspunde”. Decizia nr. ………. din 18 iulie 2016 a rămas definitivă, fără ca împotriva acesteia să fi fost formulată vreo contestaţie. În acest context, ......... S.A., prin decizia ………/03.04.........., a numit o nouă comisie de reevaluare a ofertelor şi a cooptat expertul Isotrad Consulting S.R.L, care, în urma cercetării şi analizării ofertelor, a 10

remarcat şi a informat autoritatea cu privire la neconformităţile şi neregularităţile constatate, în special în ceea ce priveşte neîndeplinirea de către societăţile ofertante a cerinţelor minime obligatorii de calificare, criterii eliminatorii privind firmele participante, astfel cum sunt acestea definite în Capitolul 5 Cerinţe Minime, din caietul de sarcini. Prin caietul de sarcini, autoritatea contractantă a solicitat: 5. CERINŢE MINIME In vederea unei analize rapide a ofertelor, cerinţele au fost impartite in doua categorii, si anume: ■ Cerinţe minime obligatorii de calificare: criterii eliminatorii privind firmele participante ■ Cerinţe tehnice specifice minime: criterii tehnice de evaluare Nota importanta In situatia in care un ofertant nu poate îndeplini cerinţele minime obligatorii de calificare el va fi declarat eliminat, iar oferta nu va fi luata in considerare. Cerinţe minime obligatorii de calificare - criterii eliminatorii (...) Firmele solicitante vor trebui sa faca dovada angajarii lor permanente în scopul imbunatatirii calitatii serviciilor oferite. In acest sens ofertantii vor depune copii ale certificărilor in domeniul managementului calitatii conform SR EN ISO 9001:2008 sau echivalent, a mediului conform standardului SR EN ISO 14001:2005 sau echivalent. Prestatorul trebuie să prezinte dovada auditării sistemului său informatic inclusiv raportul auditorului privind tinerea sub control a proceselor, prevenirea şi detectarea erorilor şi a fraudelor, managementul informaţiilor etc. Dovada auditării sistemului informatic şi raportul auditorilor va fi prezentată anual, pe toată durata contractului. De asemenea firmele vor depune in mod obligatoriu si copie a Manualului sistemului de management integrat - Calitate -Mediu <CMO110> Din propunerea tehnică a contestatorului reiese că, pentru îndeplinirea acestei cerințe, acesta a prezentat și ISO 27001:2005 (pag. 513), precum şi raportul de audit pentru certificarea mai sus menţionată (pag.579- 587). Considerând că prin aceste două documente prezentate nu a îndeplinit cerința de calificare, prin adresa nr. 17109145/28.04.........., autoritatea contractantă a solicitat următoarea clarificare: În enunţul cerinţei minime CMO110 de la capitolul 5 al Caietului de sarcini, ANB a solicitat următoarea cerinţă: “Firmele solicitante vor trebui sa faca dovada angajarii lor permanente în scopul imbunatatirii calitatii serviciilor oferite. In acest sens ofertanţii vor depune copii ale certificatelor in domeniul managementului calitatii conform SR EN ISO 9001:2008 sau echivalent, a mediului conform strandardului SR EN ISO 14001:2005 sau echivalent. Prestatorul trebuie sa prezinte dovada auditarii sistemului sau informatic inclusiv raportul auditorului privind tinerea sub control a proceselor, prevenirea si detectarea erorilor si a fraudelor, managementul informaţiilor, etc. Dovada auditarii sistemului informatic si 11

raportul auditorilor va fi prezentata anual, pe toata durata contractului. De asemenea firmele vor depune in mod obligatoriu si copie a Manualului sistemului de management integrat - Calitate - Mediu”. Având în vedere că documentele depuse de Dvs. pentru a dovedi îndeplinirea acestei cerinţe sunt incomplete, vă rugăm să prezentaţi toate documentele, astfel cum au fost acestea solicitate în CMO110 din Caietul de sarcini. Contestatorul răspunde prin adresa nr. ………./03.05.........., precizând: Astfel, pentru demonstrarea îndeplinirii CMO 110, care în mod cronologic este CMO 108, prezentăm următoarele: ■ NovaForce a făcut dovada angajării permanente în scopul îmbunătăţirii calităţii serviciilor oferite prin însăşi soluţia de pază şi protecţie menţionata în propunerea tehnică (337 pagini, numerotate în ofertă de la nr.2114 la nr. 2450) şi în cele 3 anexe la aceasta (numerotate în ofertă de la nr.2451 lanr. 2734); ■ propunerea tehnică completează cerinţa minimă obligatorie CMO 110, de la Cap. 5 şi cerinţele tehnice CT200-CT226, de la Cap. 6, reprezentând liantul acestora, chiar daca in oferta tehnica se punctează doar CT-urile; ■ propunerea tehnică prezintă procedurile şi modalităţile practice de asigurare a managementului calităţii, a managementului mediului a identificării factorilor specifici de risc din obiectivele ANB cu care se confruntă personalul de pază; ■ în cadrul ofertei am depus copii ale certificatelor ISO 9001:2008 (pag.507- 208 din ofertă), SR EN ISO 14001:2005 (pag. 509-510 din ofertă), ISO 18001:2008(pag.511-512) şi ISO 27001:2005 (pag.513), certificate de absolvire în managementul şi auditul sistemelor de calitate, de securitate şi sănătate în muncă, de sănătate şi securitate ocupaţională, de mediu (pag-514-519), manualul de management integrat calitate-mediu (pag.520- 573) şi rapoartele de audit pentru certificările mai sus menţionate (pag.574- 587); ■ Managementul informaţiilor referitoare la buna executare a serviciului în condiţii de maximă calitate şi cu respectarea standardelor de mediu, de securitate şi sănătate în muncă, de sănătate şi securitate cupaţională este prezentat la pag.305-324 din propunerea tehnică; ■ Prevenirea si detectarea erorilor şi a fraudelor în activitatea de pază este menţionată în propunerea tehnică, în cadrul instrucţiunilor şi procedurilor specifice; ■ In oferta am prezentat documentele ce conţin îndeplinirea CMO 110 (care se completează cu procedurile prezentate in propunerea tehnică); ■ Toate procedurile de respectare a calitatli, mediului, SSM, securitate a informaţiei, stabilite de ANB pentru a fi respectate de SC ......... SRL au fost însuşite, implementate si urmărite pe toata perioada derulării contractelor încheiate intre noi, respectiv din anul 2005 si pana in anul 2016, după data depunerii ofertei la aceasta procedura de licitaţie. Responsabilitatea prevenirii şi detectării erorilor şi a fraudelor revine conducătorului societăţii care stabileşte procedurile, metodele de lucru şi regulile de aplicat în vederea executării activităţilor, atribuţiilor sau sarcinilor, în conformitate cu standardele de management al calităţii, al mediului, al securităţii şi sănătăţii ocupaţionale, al protecţiei informaţiilor şi al respectării drepturilor omului. Propunerea tehnică prezentată în ofertă prezintă pe capitole implementarea şi menţinerea tuturor acestor proceduri, iar standardele ISO 9001:2008 (pag.507-208 din ofertă), SREN ISO 14001:2005 (pag. 509-510 din ofertă), ISO 18001:2008(pag.511- 512) şi ISO 27001:2005 (pag.513), reflectă conformitatea procedurilor aplicate de către S.C. ......... S.R.L. Standardele SRAC şi ALL CERT SYSTEMS implementate asigură adoptarea unor măsuri prompte şi eficace în activitatea de pază la obiectivele ce aparţin S.C. ......... S.A., prezentate ca proceduri de lucru în propunerea tehnică. Dacă apar nereguli, erori sau riscuri în activitatea S.C. ......... S.R.L., autortatea de audit decide dacă este necesară auditarea unui eşantion suplimentar de operaţiuni pentru a lua în considerare factorii de risc specifici identificaţi. 12

S.C. ......... S.RJL. are implementate proceduri de urmărire continuă a respectării acestor standarde de management, care se armonizează cu auditul periodic al SRAC şi ALL CERT SYSTEMS, Precizăm faptul că toate aceste proceduri standard prezentate în ofertă se referă la întreaga activitate de pază, protecţie, patrulare, monitorizare şi intervenţie, implementate şi menţinute în cadrul S.C. ......... S.RX. În propunerea tehnică şi în anexele nr.1-3 la aceasta am prezentat preocuparea conducerii S.C. ......... S.RJL. pentru identificarea riscurilor majore care pot afecta eficacitatea şi eficienţa operaţiunilor, respectarea regulilor şi regulamentelor comune cu S.C. ......... S.A., interes pentru protejarea bunurilor, monitorizarea şi evaluarea riscurilor în activitatea specifică de pază, prevenirea şi descoperirea fraudelor. Prin procedurile prezentate în propunerea tehnică am demonstrat că managementul S.C. ......... S.RJL. asigură funcţionarea, nnni sistem eficient, flexibil şi rapid de comunicare care serveşte scopurilor activităţii de pază şi protecţie. De asemenea, procedurile prezentate stabilesc modalităţile transparente de constatare şi semnalare a neregularităţilor, pentru înlăturarea acestora şi menţinerea standardelor de lucru implementate. În derularea activităţii de pază în obiectivele S.C. ......... S.A. pot apărea abateri de la procedurile existente, astfel că S.C. ......... S.R.L. are implementate proceduri de depistare şi raportare a acestora, inclusiv de desprindere a unor concluzii de bună practică pentru viitor. S.C. ......... S.R.L. a implementat si menţinut certificarea unui sistem de management al securităţii informaţiei, conform standardului prezentat mai sus, ca parte a unui întreg sistem de management bazat pe abordarea evaluării riscurilor de securitate in vederea stabilirii, implementării, administrării, monitorizării, menţinerii si imbunatatirii securităţii informaţiei. Prin certificare, S.C. ......... S.R.L. s-a asigurat că în cadrul societăţii s- au aplicat cele mai bune practici de planificare, instalare, configurare, utilizare si întreţinere a sistemelor informaţionale. Standardul are la baza următoarele principii care definesc securitatea informaţiei: confidenţialitatea, integritatea si disponibilitatea informaţiei. Abordarea acestui standard asigura o securitate pe termen lung bazandu-se pe implementarea de politici, proceduri si metode de securitate destinate protejării informaţiilor si resurselor organizaţiilor. Prin reducerea la maximum a riscurilor se garanteaza ca sistemul de management este funcţional si îndeplineşte cerinţele operaţionale ale societăţii, aşteptările clienţilor si se conformează legislaţiei in vigoare. Informaţia si suportul de procesare, sistemele si retelele informatice sunt resurse foarte importante în domeniul de afaceri. De asemenea, am prezentat în cadrul ofertei faptul că activitatea de pază şi protecţie se derulează în urma evaluărilor de risc la securitate fizică pentru fiecare obiectiv în parte, conform normelor legale, cu rolul de a identifica vulnerabilităţile şi riscurile expunerii acestora la producerea unor incidente de securitate fizică. ANB şi-a finalizat toate aceste analize de risc la securitatea fizică înainte de data licitaţiei organizată la începutul anului 2016, iar oferta ......... s-a bazat pe aceste analize, în urma cărora s-au întocmit de către ANB şi ......... planurile de pază corespunzătoare”. La acest răspuns, expertul cooptat și-a formulat următorul punct de vedere: „Societatea ......... nu a făcut dovada îndeplinirii cerinţei minime obligatorii CMO110. Nu a prezentat dovada auditarii sistemului informatic ci doar un raport de audit supraveghere Sistem de Management al Securităţii Informaţiei conform ISO 27001 efectuat de organismul de certificare. Raportul de audit din data 15-18.04.2015 nu este un audit tehnic al sistemului informatic. Autoritatea contractanta nu a făcut nici o referire la ISO 27001 in caietul de sarcini. Daca ar fi dorit acest lucru, autoritatea contractanta ar fi făcut referire directa la standard, asa cum a făcut cu ISO9001 si ISO14001. Ofertantul a pus la dispoziţie alt document decât cel solicitat de autoritatea contractanta, ca urmare, cerinţa CMO110 este neindeplinita”. Urmare acestui punct de vedere, autoritatea contractantă revine cu adresa nr. ……../10.05.........., solicitând: „Referitor la oferta depusă de Societatea ......... S.R.L. la procedura de atribuire a acordului-cadru, ce are ca obiect Servicii de pază şi monitorizare, precum şi la răspunsul dvs. 13

la solicitarea de clarificare, nr. 728/03.05.........., înregistrat la ......... cu nr. ………/03.05.........., vă adresăm următoarele solicitări de clarificare: (…) 3) Vă rugăm să indicaţi pagina/paginile (inclusiv articol/alineat) din ofertă sau din documentele transmise ca urmare a solicitării de clarificare (nr. 728/03.05.........., înregistrate la ......... cu nr. 17111359/03.05..........), în care regăsim dovada auditării sistemului informatic, conform cerinţei CMO110 din Caietul de sarcini”. Contestatorul răspunde prin adresa nr. ……./12.05.........., precizând: „Procedura interna privind integrarea în activitatea desfăşurata de S.C. ......... S.R.L. a Managementului Informaţiilor referitor la buna executare a serviciului este prezentata la pag. (305-324)/337 din Propunerea Tehnica (iar în Oferta integrala are numerotarea 2114-2734) - protecţia Sistemului Informatic este prezentata la pag. 312- 313 din Propunerea Tehnica; În adresa anterioara, nr. 728/03.05.........., am prezentat faptul ca oferta cuprinde 2734 pagini, numerotate conform OPIS documente, iar propunerea tehnica cuprinde 337 pagini şi încă 3 Anexe, numerotate în Oferta de la nr. 2114 la nr. 2734; În adresa nr. 728/03.05.......... am prezentat faptul ca la CMO 110 am depus toate documentele solicitate care demonstrează îndeplinirea acestei cerinţe, astfel: - dovada angajarii permanente în scopul îmbunătăţirii calităţii serviciilor prestate, prezentata prin însăşi soluţia de paza şi protecţie la obiectivele S.C. ......... S.A., menţionata în PROPUNEREA TEHNICA, care completează cerinţele CMO 110, de la Cap. 5 şi cerinţele tehnice CT 200-CT 226, de la Cap. 6, reprezentând liantul acestora, chiar daca în Oferta tehnica se punctează doar CT-urile; Propunerea Tehnica prezintă procedurile interne şi modalităţile practice de asigurare şi menţinere a Managementului calitate-mediu-SSO-Protecţia Informaţiilor-Respectarea Drepturilor Omului, precum şi de identificare a factorilor specifici de risc din obiectivele S.C. ......... S.A. cu care se confrunta personalul de paza; - implementarea și menţinerea Sistemelor de Management al Calităţii, al Mediului, al Sănătăţii şi Securităţii în Munca, al Securităţii Informaţiilor şi al Respectării Drepturilor Omului; - auditarea Sistemului Informatic, inclusa în raportul de audit al ISO/CEI 27001:2005, referitor la menţinerea Sistemului de Management al Securităţii Informaţiilor în cadrul S.C. ......... S.R.L.; - auditarea Sistemului de Management Integrat Calitate-Mediu-Sanatate şi Securitate Ocupaţionala; - Manualul Sistemului de Management Integrat Calitate-Mediu-Sanatate şi Securitate Ocupaţionala; - Certificate de absolvire ale salariaţilor S.C. ......... S.R.L. în Managementul şi Auditul Sistemelor de Calitate, de Mediu şi de Sanatate şi Securitate Ocupaţionala; 2) Instrucţiunile şi procedurile specifice proprii, întocmite cu respectarea procedurilor din Standardul ISO/IEC 27001:2013, care prevăd inclusiv prevenirea şi detectarea erorilor şi a fraudelor informatice, sunt menţionate în Cap.XII- Protecţia Informaţiilor Clasificate, din Propunerea Tehnica (pag. 304-337), regăsită la pag. 2418- 2450 din numerotarea întregii Oferte (vezi OPIS documente Oferta S.C. ......... S.R.L.); La CMO 110 s-a făcut dovada auditarii de catre Organismul de Certificare ALL CERT SYSTEMS, în perioada 15-18.04.2015 (Audit de supraveghere nr. 2) a Sistemului de Management al Securităţii Informaţiilor implementat de S.C. ......... S.R.L.; Auditul de supraveghere nr.2 prevede mai multe secţiuni auditate, dintre care prezentam: Angajamentul managementului (atribuţii, responsabilitate, autoritate), planificare (identificare şi analiza aspecte critice, pregătirea pentru situaţii de urgenţa), procese suport (documentarea informaţiei, relaţia cu clienţii, şi furnizorii), control operaţional (producţii şi furnizare de servicii, controlul aspectelor/riscurilor semnificative), evaluarea performanţei (monitorizare, măsurare, analiza şi evaluare, Audit intern), îmbunătăţire (analiza şi gestionarea neconformitaţilor, acţiuni corective, îmbunătăţire), tratarea reclamaţiilor (exista registru de reclamaţii - Nu au fost înregistrate reclamaţii din partea clienţilor), criterii de evaluare a performanţei (controlul şi tratarea reclamaţilor de la clienţi şi alte părţi interesate, eficacitatea acţiunior corective întreprinse în urma auditurilor interne, conformitatea cu cerinţele Standardului, prevenirea neconformitaţilor şi îmbunătăţirea sistematica a proceselor); 14

În urma acestui audit se confirma menţinerea Certificării ISO/IEC 27001:2013 pentru S.C. ......... S.RL.; Organismul de certificare ……….. a certificat implementarea şi menţinerea Sistemului de Management al Securităţii Informaţiilor în cadrul S.C. ......... S.R.L., conform cerinţelor Standardului ISO/IEC 27001:2013, prin Certificatul cu seria SI, nr. 00029, rev.1, din 16.04.2015 (următorul audit 16.04.2016), pentru următoarele activităţi incluse în Declaraţia de Aplicabilitate rev. 1 din 31.01.2013 „Servicii de paza a obiectivelor, bunurilor şi valorilor, transport de valori, garda de corp, monitorizarea sistemelor de alarmare şi intervenţie, precum şi consultanţa în aceste domenii”; Referitor la frauda informatica/fraude comise prin sisteme informatice şi mijloace de plata electronice, art. 249 din Noul Cod Penal defineşte frauda informatica ca fiind ’’introducerea, modificarea sau ştergerea de date informatice, restricţionarea accesului la aceste date ori împiedicarea în orice mod a funcţionării unui sistem informatic, în scopul de a obţine un beneficiu material pentru sine sau pentru altul, dacă s-a cauzat o pagubă unei persoane”. 3) Auditarea Sistemului Informatic este inclusa în raportul de audit ALL CERT SYSTEMS, procedura ISO/CEI 27001:2005 si face referire la menţinerea Sistemului de Management al Securităţii Informaţiilor în cadrul S.C. ......... S.R.L., fiind menţionata la paginile (574- 587)/2734 din Oferta, iar Instrucţiunile proprii sunt prezentate la Cap.XII-Protecţia Informaţiilor Clasificate, din Propunerea Tehnica (pag. 304-337), regăsită la pag. 2418-2450 din numerotarea întregii Oferte (vezi OPIS documente Oferta S.C. ......... S.R.L.) - protecţia Sistemului Informatic este prezentata la pag. 312-313 din Propunerea Tehnica”. La acest răspuns, expertul cooptat și-a formulat următorul punct de vedere: „Ofertantul nu a pus la dispoziţia autoritatii contractante documentul solicitat, si nu a indicat unde se regăseşte in oferta transmisa către Autoritatea contractanta, indicând pagini sau documente care nu au legătură cu documentul solicitat. Argumentatia prin care Auditul sistemului informatic se regăseşte in Raportul de audit al Organismului de certificare, nu se sustine. lnsusi ofertantul prin răspunsul la clarificare transmite procesele auditate si specifica faptul ca este un audit al unui sistem de management, acesta fiind realizat in scopul certificării sistemului de management al securităţii informaţiei. Citam: «Auditul de supraveghere nr.2 prevede mai multe secţiuni auditate, dintre care prezentam: Angajamentul managementului (atribuţii, responsabilitate, autoritate), planificare (identificare şi analiza aspecte critice, pregătirea pentru situaţii de urgenţa), procese suport (documentarea informaţiei, relaţia cu clienţii, şi furnizorii), control operaţional (producţii şi furnizare de servicii, controlul aspectelor/riscurilor semnificative), evaluarea performanţei (monitorizare, măsurare, analiza şi evaluare, Audit intern), îmbunătăţire (analiza şi gestionarea neconfotmitaţilor, acţiuni corective, îmbunătăţire), tratarea reclamaţiilor (exista registru de reclamaţii - Nu au fost înregistrate reclamaţii din partea clienţilor), criterii de evaluare a performanţei (controlul şi tratarea reclamaţilor de la clienţi şi alte părţi interesate, eficacitatea acţiunilor corective întreprinse în urma auditurilor interne, conformitatea cu cerinţele Standardului, prevenirea neconformitaţilor şi îmbunătăţirea sistematica a proceselor)» Autoritatea contractanta nu a solicitat nici o clipa certificarea in conformitate cu ISO 27001 si nici nu a solicitat un astfel de raport de audit întrucât nu era interesata de o certificare formala a unui sistem de management, ci de îndeplinirea unor cerinţe tehnice in ceea ce priveşte sistemul informatic. Autoritatea contractanta nu a făcut in nici un moment referire la standardul ISO 27001, daca ar fi dorit acest lucru ar fi făcut referire directa asa cum a făcut pentru standardele ISO9001, ISO14001. In fapt, implementarea unui sistem de management este un aspect, iar asigurarea unor masuri tehnice ale sistemului informatic si testarea eficacităţii printr-un audit al sistemului informatic, care este un audit 100% tehnic este alt aspect. Autoritatea contractanta a solicitat dovedirea implicării ofertanţilor pe aspectele tehnice, iar ofertantul s-a rezumat la transmiterea unui raport de audit in conformitate cu standardul IS027001, fara insa a face dovata auditarii sistemului informatic. De altfel niciun paragraf/alineat al raportului de audit ALLCERT, din perioada 15-18.04.2015, nu face referire la auditarea sistemului informatic, fapt ce demonstrează ca cerinţa nu este îndeplinita. In plus, la capitolul 4 al aceluiaşi raport, la punctul 4.4, identificarea proceselor nu este bifata aplicabilitatea, respectiv conformarea cu cerinţele standardului fiind inca o dovada o 15

formalismului documentului, iar autoritatea contractanta nu a dorit un cerificat ci o dovada clara funcţionalităţii si siguranţei tehnice a sistemului informatic. Prin răspunsul la clarificări, ofertantul incearca sa simuleze îndeplinirea cerinţelor, facand trimitere la anumite pagini din oferta depusa (nu in mod specific articol, alineat, pagina cum a solicitat autoritatea contractanta ), dar in aceste pagini nu se regăsesc documente care sa clarifice aspectele solicitate de autoritatea contractanta, prin urmare aceasta cerinţa este neindeplinita”. În sprijinul celor de mai sus, autoritatea contractantă a prezentat un document întocmit de Bureau Veritas Certification, în care se precizează: „Subiect: Certificarea Sistemului pentru Managementul Securitatii Informaţiei conform cerinţelor ISO 27001 - vs Auditarea Sistemului Informatic - Auditul IT Prin prezenta confirmam ca certificarea si auditul in conformitate cu standardul ISO 27001 nu este echivalentul auditului unui sistem informatic, respectiv auditul IT”. Mai mult, din adresa nr. ………/27.06.......... emisă de …………, invocată de contestator, reiese clar că standardul ISO 27001 se referă la un sistem de management al securității informațiilor, pe când cerința din caietul de sarcini impune prezentarea unui document (raport de audit) din care să reiasă dovada auditării sistemului informatic (adică hardware și software), deci un audit tehnic. În concluzie, Consiliul reține că ofertantul contestator nu a făcut dovada îndeplinirii cerinţei minime obligatorii CMO 110. Documentele din oferta sa, cât şi răspunsurile acestuia la solicitările de clarificare ale autorității contractante, nu cuprind dovada auditului sistemului informatic la momentul deschiderii ofertelor. Autoritatea contractantă nu a dorit o certificare formală şi nu a făcut referire la standardul ISO 27001, așa cum a făcut referire la standardele ISO 9001 și 14001. Niciun ofertant nu a solicitat clarificări, nici în faza de depunere a ofertelor, nici în faza de clarificări. Autoritatea contractantă a dorit să se asigure că ofertanţii au un sistem informatic eficient şi sigur, testat periodic printr-un audit tehnic, respectiv auditul sistemului informatic. Raportul pus la dispoziţie de către ofertantul contestator este un raport de audit al sistemului de management al securităţii informaţiei, conform ISO 27001. Autoritatea contractantă a solicitat un raport de audit al sistemului informatic, care este un audit tehnic. Consiliul va avea în vedere susținerile formulate de către expertul cooptat potrivit cărora: „Auditul de conformitate cu standardul ISO 27001 este un audit al sistemului de management. Conform definiţiei din standardul naţional SR EN ISO 27001, acest standard internaţional specifică cerinţele pentru stabilirea, implementarea, întreţinerea, şi îmbunătăţirea continuă a unui sistem de management al securităţii informaţiei în contextul organizaţiei. Auditul sistemului de management al securităţii informaţiei urmăreşte implementarea şi conformitatea măsurilor privind managementul securităţii informaţiei cu standardul internaţional de management. 16

Auditarea tehnică a securităţii sistemelor informaţiei este atât o cerinţă a sistemului de management, cat si o cerinţa a legislaţiei, care are ca scop evaluarea eficacităţii măsurilor tehnice de securitate pentru protejarea sistemelor informatice”. Totodată, Consiliul apreciază că auditul informatic reprezintă un instrument care evaluează eficiența și eficacitatea utilizării resurselor IT (hardware, software), fapt confirmat și de către expertul cooptat. Din cele de mai sus, rezultă că S.C. ......... S.R.L. nu s-a conformat solicitării autorității contractante și nu a prezentat documentele solicitate, ce aveau rolul de a demonstra autorității contractante că îndeplinește cerința de calificare. Astfel, având în vedere prevederile art. 34 alin. (1) din H.G. nr. 925/2006, respectiv „în cazul în care, în cadrul documentaţiei de atribuire, a fost prevăzută obligaţia îndeplinirii unor criterii de calificare, astfel cum sunt acestea prevăzute la art. 176 din O.U.G. nr. 34/2006, comisia de evaluare are obligaţia verificării modului de îndeplinire a acestor criterii de către fiecare ofertant în parte”, Consiliul constată că membrii comisiei de evaluare au ţinut cont de cerinţele obligatorii solicitate prin documentaţia de atribuire. Raportând activitatea comisiei de evaluare, evocată anterior, la dispoziţiile legale amintite, Consiliul reţine că aceasta s-a desfăşurat cu respectarea prevederilor legale aplicabile în materia achiziţiilor publice. Conţinutul documentaţiei de atribuire, aşa cum acesta este întocmit de autoritatea contractantă, este obligatoriu atât pentru operatorii economici participanţi la procedură care au obligaţia de a îşi elabora ofertele în conformitate cu prevederile acesteia (art. 170 din O.U.G. nr. 34/2006), cât şi pentru autoritatea contractantă, aceasta fiind obligată ca în desfăşurarea procedurii de achiziţie publică să respecte atât dispoziţiile legale aplicabile în acest domeniu, cât şi prevederile propriei documentaţii de atribuire care stabileşte regulile ce trebuie respectate de ambele părţi în derularea procesului competitiv. Potrivit principiului de drept „nemo auditur propriam turpitudinem allegans”, contestatorul nu poate invoca propria culpă ca motiv al nerespectării cerinţelor impuse în cadrul documentaţiei de atribuire. O ofertă care nu îndeplineşte una sau mai multe cerinţe de calificare stabilite în documentaţia de atribuire, în conformitate cu dispoziţiile art. 36 alin. (1) lit. b) din H.G. nr. 925/2006, este o ofertă inacceptabilă, iar potrivit art. 37 din acelaşi act normativ doar „ofertele care nu se încadrează în niciuna dintre situaţiile prevăzute la art. 36 sunt singurele oferte care pot fi considerate admisibile. Oferta câştigătoare se stabileşte numai dintre ofertele admisibile şi numai pe baza criteriului de atribuire precizat în anunţul de participare şi în documentaţia de atribuire”. Comisia de evaluare are obligaţia, conform art. 81 din H.G. nr. 925/2006, de a respinge ofertele inacceptabile şi neconforme. În situaţia în care considera cerinţele din documentaţia de atribuire neclare/restrictive, contestatorul avea posibilitatea de a solicita clarificări 17

în temeiul art. 78 din O.U.G. nr. 34/2006 / le putea contesta în termenul legal expres stabilit la art. 256² din O.U.G. nr. 34/2006. În speţă, contestatorul nu a dorit să uzeze de aceste drepturi exprese, motiv pentru care documentaţia de atribuire şi-a dobândit forţa obligatorie, atât pentru autoritatea contractantă, cât şi pentru operatorii economici participanţi. Având în vedere faptul că ambii ofertanţi au prezentat oferte inacceptabile, autoritatea contractantă în mod corect a anulat procedura de atribuire, făcând aplicarea prevederilor art. 209 alin. (1) lit. a) din O.U.G. nr. 34/2006, care prevăd că autoritatea contractantă are obligaţia de a anula aplicarea procedurii pentru atribuirea contractului de achiziţie publică, dacă au fost depuse numai oferte inacceptabile şi/sau neconforme. Modalitatea în care a înţeles autoritatea contractantă să anuleze procedura de atribuire a contractului nu se situează în afara prevederilor legale, motivul invocat fiind întemeiat. Maniera în care a procedat autoritatea contractantă este legală în raport de dispoziţiile art. 209 din O.U.G. nr. 34/2006 şi de natură să nu încalce drepturile recunoscute de acelaşi act normativ în beneficiul participantului, Consiliul reţinând faptul că, în speţă, aceasta a demonstrat că ofertele sunt inacceptabile. În considerarea celor antemenţionate, critica S.C. ......... S.R.L. vizând nelegalitatea anulării procedurii de atribuire de către autoritatea contractantă este neîntemeiată, Consiliul urmând să o respingă. Având în vedere toate aspectele de fapt şi de drept mai sus evocate, Consiliul, în temeiul art. 278 alin. (5) şi (6) din Ordonanţa de urgenţă a Guvernului nr. 34/2006 va respinge ca nefondată contestaţia formulată de S.C. ......... S.R.L., în contradictoriu cu ......... S.A. şi va menţine decizia de anulare a procedurii de achiziţie publică. Pentru aceste motive, în baza legii şi a mijloacelor de probă aflate la dosar, CONSILIUL DECIDE: În temeiul art. 26 alin. (6) din Legea nr. 101/2016 privind remediile şi căile de atac în materie de atribuire a contractelor de achiziţie publică, a contractelor sectoriale şi a contractelor de concesiune de lucrări şi concesiune de servicii, precum şi pentru organizarea şi funcţionarea Consiliului Naţional de Soluţionare a Contestaţiilor, pentru considerentele evocate în motivarea prezentei, respinge ca nefondată contestația depusă de S.C. ......... S.R.L., în contradictoriu cu ......... S.A. Menţine decizia de anulare a procedurii de achiziţie publică. Împotriva prezentei se poate formula plângere, în termen de 10 zile de la comunicare, în temeiul art. 29 alin. 1 din Legea nr. 101/2016. 18

PREȘEDINTE, MEMBRU, MEMBRU, 19