(1)

Независимите одити са важен инструмент за надзор на спазването от страна на доставчиците на много големи онлайн платформи или много големи онлайн търсачки на задълженията им съгласно Регламент (ЕС) 2022/2065. Въпреки че в посочения регламент са предвидени други инструменти за отчетност — не на последно място чрез засилен обществен контрол на докладите за прозрачност и други изисквания за оповестяване на данни — независимите одитиращи организации имат специална роля в ранното оценяване на спазването на посочения регламент от страна на тези доставчици. Заключенията и констатациите от такива независими одити и препоръките в тях могат да послужат пълноценно за регулаторния надзор. Същевременно независимите одити представляват един от няколкото източника на информация и анализи, които регулаторните органи могат да използват в своите действия по надзор и правоприлагане.

(2)

За да се гарантира, че независимите одити се извършват по ефективен, ефикасен, навременен и съпоставим начин от началната дата на прилагане на Регламент (ЕС) 2022/2065, както е посочено в членове 92 и 93 от него, Комисията следва да определи правила относно извършването на одитите, по-специално по отношение на правните задължения на одитираните доставчици и процедурните стъпки, за да се гарантира, че организациите, извършващи одитите, отговарят на условията за независимост, липса на конфликт на интереси, наличие на експертен опит и професионална етика, определени в член 37, параграф 3 от Регламент (ЕС) 2022/2065.

(3)

С цел да се улесни правилното извършване на одити с високо ниво на експертен опит и да се предотвратят нежелани последици на пазара на одиторски услуги следва да се поясни, че одитите, извършвани в съответствие с член 37 от Регламент (ЕС) 2022/2065, могат да се извършват от няколко одитори. Когато е необходимо — например при нужда от специфичен експертен опит в одита на определени задължения или ангажименти, като например свързаните с проектирането и функционирането на алгоритмични системи, разбирането на рисковете за основните права или разпространението на незаконно съдържание, одитираният доставчик може да възложи на различни одитиращи организации или консорциум от организации извършването на одита. Одитиращите организации могат също да сключват договори с подизпълнители с необходимия експертен опит, при условие че както одитиращата организация, така и подизпълнителите отговарят на необходимите условия за независимост, липса на конфликт на интереси, доказана обективност и професионална етика, както и че съвместно отговарят на условията за технически експертен опит. В такива случаи одитираният доставчик следва все пак да гарантира, че спазването от негова страна на всички задължения и ангажименти, посочени в член 37, параграф 1 от Регламент (ЕС) 2022/2065, се одитира поне веднъж годишно.

(4)

Одитните становища, посочени в член 37, параграф 4, буква ж) от Регламент (ЕС) 2022/2065, следва да бъдат изразявани от одитиращите организации с разумно ниво на увереност. За да постигне разумно ниво на увереност, одитиращата организация следва да има висока, но не абсолютна степен на убеденост, че не са налице неточности, като например пропуски, погрешно представяне или грешки, които не са били открити при одита. За да се гарантира това ниво на увереност, одитиращата организация следва наред с другото да събере достатъчно доказателства и да използва подходящи одитни методики в своята оценка.

(5)

Съгласно член 37, параграф 1 от Регламент (ЕС) 2022/2065 независимите одити следва да се извършват най-малко веднъж годишно и следва да са съобразени с годишния цикъл на оценките на риска, посочен в член 34 от същия регламент. В някои случаи обаче може да са необходими по-чести одити. Последователността на одитите следва да гарантира непрекъснатост на надзора върху спазването от страна на одитираните доставчици на Регламент (ЕС) 2022/2065 и съответните кодекси за поведение и протоколи при кризи. Одитираният доставчик следва да гарантира, че периодът, за който в даден одит се прави оценка на спазването на одитираните задължения и ангажименти, допълва периода, обхванат от предходния одит на спазването от страна на доставчика на тези задължения и ангажименти, и започва най-късно от момента, в който периодът, обхванат от предходния одит, е приключил. Тъй като заключението от одита включва както оценката, извършена от одитиращата организация, така и изготвянето на одитен доклад, одитираните доставчици следва да гарантират, че продължителността на одита дава възможност одитите да бъдат провеждани поне веднъж годишно, а представянето на одитните доклади на Комисията и на координатора на цифровите услуги става без ненужно забавяне съгласно член 42, параграф 4 от Регламент (ЕС) 2022/2065.

(6)

Въпреки че одитираните доставчици не следва при никакви обстоятелства да се намесват в извършването на одита и в заключенията от него, те следва да изпълняват задълженията си по член 37 от Регламент (ЕС) 2022/2065, включително, като постигат съгласие по договорни условия с одитиращата организация и преди да изберат одитираща организация, проверяват дали тази организация отговаря на условията, определени в член 37, параграф 3 от Регламент (ЕС) 2022/2065.

(7)

Одитираният доставчик следва например да разгледа договорите, които е сключил преди това с одитиращата организация, или договорите, сключени между одитиращата организация и юридически лица, свързани с одитирания доставчик. Одитираният доставчик следва също така да включи клаузи в договорите с одитиращите организации, чрез които да се гарантира спазването на условията, определени в член 37, параграф 3 от Регламент (ЕС) 2022/2065. Когато одитиращата организация се състои от няколко субекта, одитираният доставчик следва да се увери, че всички тези субекти отговарят на условията, включително, когато е приложимо, всички подизпълнители, наети от одитиращата организация с цел да подпомогнат по какъвто и да е начин извършването на одита. Докато всеки субект, извършващ одита, следва поотделно да изпълнява изискванията за независимост и изискванията за липса на конфликт на интереси, субектите следва да изпълняват съвместно изискванията, свързани с уменията, експертния опит или техническите ресурси, като по този начин се дава възможност на различни субекти да извършват различни части от одита и да допринасят със способностите, уменията и експертния опит, необходими за извършване на одита. В одитния доклад следва да се посочва отговорността на всеки от тези субекти за съответните части на одита.

(8)

Съгласно член 37, параграф 3, буква а), подточка i) от Регламент (ЕС) 2022/2065 одитираният доставчик следва да обърне особено внимание на това одитиращата организация да не предоставя услуги извън извършването на одит на одитирания доставчик, когато проверява дали одитиращата организация отговаря на изискванията за независимост и на изискванията за липса на конфликт на интереси. Одитираният доставчик следва например да определи дали са предоставени услуги, като например услуги, свързани с която и да е система, софтуер или процес, имащи връзка с въпроси, отнасящи се до одитираното задължение или ангажимент, като консултантски услуги за оценка на ефективността, на управлението и на софтуера, услуги за обучение, разработване или поддръжка на системи или възлагане на подизпълнители на модерирането на съдържание. Тези услуги включват и услуги, предоставяни на одитирания доставчик, които се състоят в консултиране или разработване на механизми за вътрешен контрол или оценяване за вътрешни цели на спазването от страна на одитирания доставчик на Регламент (ЕС) 2022/2065 или кодексите за поведение и протоколите при кризи, включително, когато това се ограничава до прецизни изпитвания, като например изпитвания от трети страни на ефективността на системите за модериране на съдържание. Това не следва да изключва одиторски организации, които са извършили задължителни финансови одити.

(9)

Предвид сложността и особения характер на одитите за спазването на изискванията на Регламент (ЕС) 2022/2065 експертният опит на одитиращата организация в съответната област е от ключово значение за извършването на одити с разумно ниво на увереност и за упражняването на професионална преценка и скептицизъм, които дават възможност на тази организация да определи например каква информация ѝ е необходима за извършване на одитните процедури или за оспорване на противоречива информация. Поради това одитираният доставчик следва да провери дали одитиращата организация притежава такъв експертен опит, включително в областта на управлението на риска, както по отношение на одитните рискове, така и по отношение на предмета на Регламент (ЕС) 2022/2065, и по-специално системните рискове за обществото, посочени в член 34 от същия регламент. Освен това одитираният доставчик следва да провери техническите умения и способности на одитиращата организация с оглед на конкретната одитирана услуга, включително нейния експертен опит в съответната област, например по отношение на функционирането и въздействието на алгоритмичните системи като системите за препоръчване и други социално-технически системи, поддържани от доставчика. Одитиращата организация следва да има възможност да сключва договори с подизпълнители или по друг начин да получава и използва необходимия експертен опит и капацитет, а одитираният доставчик следва да проверява и гарантира, че одитиращата организация е в състояние да придобие този експертен опит и капацитет навреме за извършването на одита.

(10)

При проверката дали одитиращите организации отговарят на условията, определени в член 37, параграф 3 от Регламент (ЕС) 2022/2065, одитираният доставчик следва да оцени съответните доказателства, включително, когато е целесъобразно, сертификати, декларации и одитни доклади, издадени от одитиращата организация. Подходящият експертен опит може да бъде доказан например чрез практически опит в оценяването и управлението на рисковете, както и чрез академична дейност, научни публикации и опит със съответните одити. Одитните доклади следва да съдържат цялата съответна подкрепяща документация, удостоверяваща, че одитиращата организация отговаря на необходимите условия.

(11)

Съгласно член 37, параграф 2 от Регламент (ЕС) 2022/2065 одитираният доставчик трябва да оказва цялото необходимо сътрудничество и помощ на одитиращата организация за провеждане на одита ефективно, ефикасно и своевременно, както и да се въздържа от намеса по какъвто и да е начин в независимите решения на одитиращата организация. Например одитираният доставчик не следва да налага, да дава насоки или по друг начин да оказва влияние върху одитиращата организация чрез каквито и да било договорни или други ограничения или стимули при избора и изпълнението на одитните процедури, методиките, събирането и обработване на информация и одитни доказателства, анализа, изпитванията, одитното становище или изготвянето на одитни заключения.

(12)

За да се осигури необходимото сътрудничество и помощ по време на одита, одитираният доставчик следва да гарантира, че на одитиращата организация е предоставен достъп до цялата информация, необходима за извършването на одита. Одитираният доставчик следва да изпрати всички необходими документи и обяснения възможно най-рано и във всеки случай преди одитиращата организация да започне да изпълнява одитните процедури. Например съгласно член 41, параграф 3, букви г) и д) от Регламент (ЕС) 2022/2065 задачата на звеното по спазването на изискванията на одитирания доставчик е да наблюдава спазването на всички одитирани задължения и ангажименти, което следва доведе до разработването на механизми за вътрешен контрол. Поради това на одитиращата организация следва да се предостави достъп до цялата информация, свързана с тези механизми за контрол, както и до всяка друга информация, която очертава стратегията на одитирания доставчик за гарантиране на съответствие. По-специално одитираният доставчик следва да предостави на одитиращата организация референтните показатели, на които разчита, за да гарантира спазването на Регламент (ЕС) 2022/2065, така че одитиращата организация да може да основава одитните критерии на тази информация.. Освен това на одитиращата организация следва да бъде предоставен достъп до всички анализи, който одитираният доставчик евентуално е извършил по отношение на присъщите рискове и контролните рискове. Този доставчик следва да предостави на одитиращата организация информация, която улеснява разбирането на одитираната услуга, нейното управление, компетентността на съответните екипи и структури за вземане на решения, включително неговата функция по спазването на изискванията, както и презентации на своите информационни системи, структури за данни и записи и взаимодействието между различните алгоритмични системи, които са от значение за одита.

(13)

Одитиращата организация следва да може да поиска по всяко време на извършването на одита всякаква друга необходима информация. Достъпът до тази информация следва да се предоставя без ненужно забавяне така, че по никакъв начин да не възпрепятства извършването на одита. Това следва да включва достъп до данни, включително лични данни, събрани от различни източници, като например документи, алгоритмични системи, бази данни или интервюта, според случая. Одитираният доставчик следва също така да предостави на одитиращата организация достъп до процедури и процеси, ИТ системи, като например алгоритмични и информационни системи, включително среди за изпитване. За да се даде възможност на одитиращата организация да извърши пълноценна проверка на тези системи, одитираният доставчик следва да предостави всички необходими ресурси, за да подпомогне организацията при достъпа до системите и оценката им, например като осигури компетентен персонал, който да отговаря на въпроси или да управлява средите за изпитване и да дава обяснения за тяхното функциониране, или като улесни по всякакъв друг начин необходимото взаимодействие с персонала и достъпа до помещенията, като например сгради. Достъпът до процедури и процеси може да включва например достъп до описания или документи, отнасящи се до вътрешния процес на вземане на решения на одитирания доставчик. Достъпът до относима информация може да изисква и други допълнителни действия от страна на одитирания доставчик, за да изпълни задължението си за сътрудничество и помощ. Например за провеждане на интервюта с персонала може да са необходими защитени помещения, осигурени от одитирания доставчик. Когато това е необходимо за извършването на одита, одитираните доставчици следва да изпълняват задължението за сътрудничество и съдействие на одитиращата организация, наред с другото, като улесняват достъпа до съответните данни, свързани с тяхната дейност, с които разполагат трети страни изпълнители. Такъв може да бъде случаят например по отношение на резултатите от действия за модериране на съдържание, материали за обучение или насоки, използвани при модериране на съдържание от трети страни подизпълнители, или от продавачи и доставчици на услуги за ИТ решения, включително например алгоритми и приложения, използвани в системи за препоръчване или рекламни системи, които са в употреба при одитирания доставчик.

(14)

За да се улесни пълноценната прозрачност на одитните констатации и да се осигури изчерпателен и съпоставим формат на одитните доклади, посочени в член 37, параграф 4 от Регламент (ЕС) 2022/2065, и на докладите за изпълнението на одита, посочени в член 37, параграф 6 от същия регламент, с настоящия регламент следва да се установят образци за тези доклади и да се изискват няколко приложения за всеки от докладите. Въпреки че образците, установени в настоящия регламент, изискват изчерпателно докладване, те не следва да засягат изискванията за публикуване на докладите, предвидени в член 42, параграфи 4 и 5 от Регламент (ЕС) 2022/2065.

(15)

За да се гарантира, че одитиращата организация получава цялата необходима помощ от одитирания доставчик, без той да се намесва в извършването на одита, както и че одитиращата организация изпълнява всички условия за подготовка на одита и представя одитния доклад своевременно и с необходимото качество, за да се постигне разумно ниво на увереност, по отношение на процедурите за подготовка на одита следва да се прилагат някои правила. Задълженията и отговорностите на одитирания доставчик и одитиращата организация, включително на всички подизпълнители или партньорски организации и на персонала, отговорен за извършването на одита, следва да бъдат определени в писмено споразумение, включително чрез договорни условия. В писменото споразумение следва също така да се посочат одитираните задължения и ангажименти, разпределението на ресурсите и правилата за взаимодействие и звената за контакт между одитиращата организация и одитирания доставчик. Цялата подкрепяща документация и всички договори следва да бъдат приложени към одитния доклад, включително, когато документите са под формата на писмо за поемане на одитен ангажимент или други договорни условия.

(16)

За да се осигури изчерпателен преглед и да се улесни отчетността на одитираните доставчици, одитният доклад следва да включва заключение от оценката на одитиращата организация на спазването от страна на одитирания доставчик на всяко одитирано задължение или ангажимент. Всяко одитно заключение следва да се основава на разумно ниво на увереност и следва да бъде „положително“, „положително с коментари“ или „отрицателно“, за да бъде подходящо оформено одитното становище. Заключенията, обозначени като „положителни с коментари“, не следва да засягат самата оценка на съответствието. Тези коментари могат да се отнасят например до предоставянето на информация от доставчика по искане на одитиращата организация или до подобрения в поддръжката или механизмите за контрол, въведени от одитирания доставчик, или да отразяват други планове за смекчаване на риска и подобрения, които доставчикът възнамерява да осъществи. Във всеки случай, когато одитната организация счита, че одитираният доставчик спазва дадено одитирано задължение или ангажимент съгласно референтните показатели, докладвани от одитирания доставчик, но смята, че е необходимо да се включат забележки по тези референтни показатели, заключението от одита следва да бъде „положително с коментари“, тъй като тези коментари биха могли да предоставят полезна информация на доставчика относно възможностите за потенциални промени в неговите референтни показатели въз основа на знанията и експертния опит на одитиращата организация, както и информация от външни източници. Например коментарите могат да се основават на насоки от Комисията, включително насоки от Комисията, посочени в член 35, параграф 3 от Регламент (ЕС) 2022/2065, и всякакви други подходящи насоки, издадени от Комисията във връзка с прилагането на посочения регламент, доклади от Европейския съвет за цифровите услуги, посочени в член 35, параграф 2 от същия регламент, действия по правоприлагане, решения, взети от Комисията съгласно посочения регламент, съответната съдебна практика, особено от Съда на Европейския съюз, обществени консултации или съответни авторитетни източници.

(17)

За да се даде възможност за обществен контрол и регулаторен надзор, когато одитното заключение е „отрицателно“, но се прилага само за ограничен период от време, и одитиращата организация счита, че одитираният доставчик е спазил задължението или ангажимента за останалата част от одитирания период, това следва да бъде отразено в одитния доклад за всяко съответно задължение или ангажимент. Докладът следва да включва забележките на одитиращата организация относно всяка информация, предоставена ѝ от одитирания доставчик по отношение на съществуващи или бъдещи планове за смекчаване на риска.

(18)

С оглед на различното естество на правните задължения, определени в глава III от Регламент (ЕС) 2022/2065, и доброволните ангажименти, поети по силата на кодексите за поведение и протоколите при кризи съгласно членове 45, 46 и 48 от посочения регламент, одитиращата организация следва да издава одитни становища относно спазването на посочената глава и на всеки кодекс и протокол.

(19)

За да се извърши одитът с разумно ниво на увереност и да се разработят подходящи одитни процедури в съответствие с методики, които свеждат до минимум одитния риск, ключова част от методиката за извършване на одита следва да бъде оценката на одитните рискове, а именно риска одитиращата организация да изрази неподходящо одитно становище или заключение. Поради това одитната организация следва да оцени одитния риск в самото начало на одита, преди да разработи точната методика и да изпълни одитните процедури. Анализът на одитния риск е необходим, за да се даде възможност на одитиращата организация да избере точните методики за одита и да определи доколко изчерпателни трябва да бъдат одитните процедури, за да може да се постигне разумно ниво на увереност на одитното становище. Одитиращата организация следва да извърши анализ на одитния риск за оценката на спазването на всяко одитирано задължение или ангажимент, като вземе предвид присъщите рискове, контролните рискове и рисковете от неразкриване.

(20)

За да се оценят правилно одитните рискове, при анализа на одитните рискове следва да се вземат предвид естеството на одитираната услуга, по-специално нейният рисков профил, както и обхватът и сложността на одита. Например има вероятност онлайн платформите, които разрешават сключването на договори от разстояние между потребителите, да имат различни присъщи рискове от платформите за споделяне на видеоклипове или търсачките. Освен това следва да се вземе предвид общественият и икономическият контекст, в който се предоставя одитираната услуга, например по отношение на типични групи потребители, като малолетни и непълнолетни лица, или често срещано поведение, като широко разпространение на неавтентично използване, и координирано поведение при кампании за дезинформация. Общественият и икономическият контекст, който трябва да се вземе предвид, следва да включва също така вероятността и, независимо от нея, сериозността на излагане на кризисни ситуации и неочаквани събития, както е посочено в Регламент (ЕС) 2022/2065.

(21)

За да се гарантира, че в анализа на одитния риск се отчита развитието на рисковете, на които е изложена услугата, той следва също така да се основава на информация от предишни одити, на които е бил подложен одитираният доставчик, когато е приложимо, и да се основава на информация от източници като одитните доклади за други доставчици със сходен рисков профил. За да се гарантира, че анализът на одитния риск е напълно подкрепен от най-новите доказателства за рисковете в контекст, подобен на този, в който извършва дейност одитираният доставчик, и от авторитетни източници от пряко значение за прилагането на Регламент (ЕС) 2022/2065, анализът следва също така да се основава на информация от доклади, издадени от Европейския съвет за цифровите услуги, или насоки от Комисията, когато е приложимо. Друга информация може да включва и информация от одитни доклади, публикувани съгласно член 42, параграф 4 от Регламент (ЕС) 2022/2065 от други доставчици на много големи онлайн платформи или много големи онлайн търсачки.

(22)

Без да се влияе от одитирания доставчик, одитиращата организация следва да изготви одитните методики, които да се използват за оценка на спазването на одитираните задължения и ангажименти. Критериите за извършване на одит следва да се основават на информацията, предоставена от одитирания доставчик по отношение на референтните показатели, използвани от него за наблюдение на спазването на изискванията. Методиката може също да взема предвид друга информация, предоставена от одитирания доставчик, като анализа на присъщите рискове, ако одитираният доставчик е извършил такъв анализ, например чрез мерки, разработени от служителя по спазването на изискванията или управителния орган в съответствие с член 41 от Регламент (ЕС) 2022/2065, или други мерки, заложени във функционирането на услугата за оценките на системните рискове, посочени в член 34 от същия регламент.

(23)

За да се гарантира, че одитните методики са подходящи за постигане на разумно ниво на увереност на одитните становища, изборът на методика за одитните процедури следва да бъде съобразен с особеностите на одитираното задължение или ангажимент и следва да бъде адаптиран например към естеството на одитираното задължение като задължение за използване на средства или задължение за резултати, които доставчикът трябва да постигне, за да спази изискванията. Например одитните процедури за оценка на спазването на задължението за прозрачно докладване съгласно член 15 от Регламент (ЕС) 2022/2065 позволяват на одитиращата организация да направи заключение дали докладите са публикувани в рамките на сроковете и форматите, изисквани в посочения регламент, както и дали са пълни и дали докладваните данни са точни, представителни и с подходяща разбивка, например по категории на незаконното съдържание, по което се предприемат действия.

(24)

Изборът на методика следва също така да зависи от това дали оценката на спазването на изискванията налага тълкуване на контекста от страна на одитиращата организация. Изборът на методики следва също така да бъде адаптиран към присъщите рискове, свързани с дейностите, извършвани при предоставянето на услугата, и контекста, в който се предоставя услугата — например дали услугата включва продажба на стоки, които биха могли да бъдат незаконни, или дали услугата се използва предимно от малолетни и непълнолетни лица. Например методиките за оценка на спазването на задълженията за въвеждане на подходящи и пропорционални мерки за гарантиране на високо равнище на неприкосновеност на личния живот, безопасност и сигурност на малолетните и непълнолетните лица съгласно член 28, параграф 1 от Регламент (ЕС) 2022/2065 следва да дадат възможност на одитиращата организация да разбере в достатъчна степен как одитираната услуга се използва от малолетни и непълнолетни лица и какви рискове могат да възникнат за тяхната неприкосновеност на личния живот, безопасност и сигурност, както и какво представлява подходяща и пропорционална мярка в конкретния контекст на одитираната услуга и използването ѝ от малолетни и непълнолетни лица. За тази цел одитните организации следва да разделят оценката на подходящи стъпки. Те следва да оценяват одитните рискове според рисковия профил на одитирания доставчик, по-специално дали неговото съдържание е достъпно за малолетни и непълнолетни лица или се използва предимно от такива лица. Например, те следва да преценяват дали доставчикът е въвел инструменти за проверка на възрастта, дали те са ефективни и как одитираният доставчик оценява и наблюдава тяхната ефективност. Те следва да преценяват дали одитираният доставчик е въвел подходящи мерки за откриване на състезателно използване на неговите услуги и на поведенчески модели, които имат за цел да навредят или е вероятно да навредят на малолетните и непълнолетните лица.

(25)

Изборът на методики следва да бъде адаптиран към контролните рискове, свързани с мерките за спазване на изискванията, въведени от одитирания доставчик, както и към рисковете от неразкриване, по-конкретно рисковете да не бъдат разкрити неточности в информацията, която доставчикът предоставя на одитиращата организация. Например, когато одитираното задължение може да включва одит на алгоритмична система, основана на персонализиране за отделните получатели на одитираната услуга и на периодични актуализации на алгоритмичната система, като например задълженията за оповестяване за системите за препоръчване съгласно член 27 от Регламент (ЕС) 2022/2065, изборът на методика следва да даде възможност на одитиращата организация да разработи подходящи изпитвания, за да се сведе до минимум рисковете от неразкриване. По същия начин, когато одитиращата организация се стреми да оцени дали всички съответни рискове са били смекчени при проектирането, функционирането и използването на приложения, основани на широкомащабни езикови модели, като например функции за чат или системи за препоръчване, внедрени от одитирания доставчик, одитиращата организация следва първо да оцени целесъобразността на въведените от доставчика механизми за контрол. Изборът на изпитвания следва да се основава на надеждността на тези механизми за вътрешен контрол. По-специално, но не само в случаите, когато механизмите за вътрешен контрол са слаби, непълни или незадоволителни, за да може да се оцени дали правилата са спазени при разглеждане на съвкупността от получатели на одитираната услуга, одитните процедури следва да се основават на комбинация от методики. Например методиките могат да включват съществени аналитични процедури, като например анализ на взаимодействията между всички алгоритмични системи, включени в системите за препоръчване, и свързаните с тях правила за вземане на решения и процеси за определяне на основните параметри на тези системи за препоръчване, наблюдения на цифрови записи и регистрационни файлове. Методиките следва да включват и изпитвания на системата, като например изпитвания в симулирана среда.

(26)

За да се гарантира, че методиката е подходяща и адаптирана към новите констатации по време на извършването на одита, подборът на методиките следва да се ръководи от професионалната преценка на одитиращата организация и следва да бъде приспособен, за да се вземат предвид тези нови констатации, по-специално, когато одитиращата организация има основателни съмнения по отношение на информацията, предоставена от одитирания доставчик. Професионалният скептицизъм на одитиращата организация следва да се основава на нейния експертен опит, както и на други източници на информация от особено значение за прилагането на Регламент (ЕС) 2022/2065, като например доклади от Европейския съвет за цифровите услуги, насоки от Комисията, одитни доклади, изготвени въз основа на кодекси за поведение или протоколи при кризи, посочени в членове 45, 46 и 48 от същия регламент, или информация, получена по време на извършването на одита, включително, когато е свързана със събития, по-специално кризисни ситуации, които изискват допълнителни действия от одитирания доставчик, за да се гарантира спазването на определени одитирани задължения или ангажименти.

(27)

За да се гарантира събирането на достатъчно одитни доказателства по време на одита, одитиращите организации следва да оценяват механизмите за вътрешен контрол на одитирания доставчик, както и да извършват съществени одитни процедури за оценка на спазването на изискванията от страна на одитирания доставчик. В някои случаи одитиращата организация следва също да извършва изпитвания.

(28)

Предвид сложността на алгоритмичните системи, използвани от доставчиците на онлайн платформи, и тяхната важна роля за спазването на някои задължения, определени в Регламент (ЕС) 2022/2065, следва да се обърне специално внимание на избора на необходима и подходяща методика за одитиране на алгоритмичните системи. Такъв е случаят, когато алгоритмичните системи са част от механизмите за контрол, въведени от одитирания доставчик, и когато самите те са предмет на одитираните задължения или ангажименти, като например по отношение на системите за препоръчване — например съгласно членове 27, 34, 35 и 38 от Регламент (ЕС) 2022/2065, или системите за реклама — например съгласно членове 26, 28, 34, 35 и 39 от посочения регламент, системите за модериране на съдържание — например съгласно членове 14, 15, 34 и 35 от посочения регламент, или всяка друга алгоритмична система, която допринася за рисковете, посочени в член 34 от същия регламент.

(29)

Следва да се използва и комбинация от съществени аналитични процедури, включително, когато е целесъобразно, въз основа на наблюдения на процесите и дейностите на одитирания доставчик при проектирането, разработването, експлоатацията, изпитването и проследяването на алгоритмични системи или наблюдения на цифрови записи и регистрационни файлове, създадени от системите. Методиките следва да бъдат адаптирани към особеностите на алгоритмичните системи, включително тяхното управление, взаимодействието между различните алгоритмични системи, както и свързаните с тях системи за управление на данни, и към технологиите, стоящи в основата на тези алгоритмични системи, като например генеративни модели или други алгоритми за класификация, подбор или търсене.

(30)

Освен това одитните методики за алгоритмични системи следва да включват изпитвания, например, за събиране на информация, която одитираният доставчик не е документирал преди това, или за независимо възпроизвеждане и оценка на резултатите на показатели за точността, от изпитвания в тестова среда или симулирана среда или изпитвания в производствени системи, включително чрез извличане на данни или състезателно изпитване.

(31)

Като се има предвид, че високото качество на одитните доказателства е необходимо условие, за да може дадена одитираща организация да изготви одитно становище с разумно ниво на увереност, информацията, която одитиращата организация решава да използва като одитни доказателства, следва да бъде подходяща и достатъчна за намаляване на одитните рискове. Освен това одитните доказателства следва да бъдат надеждни според професионалната преценка и скептицизъм на одитиращата организация и, когато е уместно, според алтернативни източници на информация. Професионалната преценка и скептицизъм следва да включват критична оценка на одитните доказателства и възможните неточности. Тези стандарти за качество следва да се прилагат за всички одитни доказателства независимо дали са били предоставени от одитирания доставчик, или са били събрани от други източници.

(32)

Одитиращата организация следва да разгледа редица източници на информация, които могат да включват например интервюта с персонала или изпълнители на одитирания доставчик, включително служители по спазването на изискванията, инженери, специалисти в областта на данните, софтуерни архитекти или членове на екипи за вътрешен одит. Те могат също така да включват техническа документация относно проектирането, внедряването, изпитването и наблюдението на съответната система, включително относно качеството и управлението на данните и относно актуализациите и версиите на системата, както и други документи относно процесите на управление и вземане на решения на одитирания доставчик, включително с оглед на приоритетите, ресурсите, разпределението на задачите и отговорностите или експертния опит на съответния персонал.

(33)

За да се гарантира ефикасност и пропорционалност при извършването на одита, на одитиращата организация следва да бъде разрешено да прави извадки от данни и информация, като надлежно се взема предвид постигането на представителна извадка, за да може одитиращата организация да изготви одитно становище с разумно ниво на увереност. За да се гарантира прозрачност и възможност за повтаряне на одитните процедури, одитиращата организация следва да представи в одитния доклад обосновка за избора на обем на извадката и метод за формиране на извадката. Например обемът на извадката и методиката следва да бъдат подбрани, като се има предвид как по ефективен начин да се постигне целта на одита на конкретното одитирано задължение или ангажимент и да се сведе до минимум рискът заключението от одита на конкретната извадка да е различно от това, което би било заключението, ако цялата съвкупност от доказателства бъде подложена на одитната процедура. Обемът и методиката за извадката следва да бъдат подбрани, като се вземе предвид пълният обхват на одита, както и вътрешните или външните промени в одитираната услуга през този период. Те следва също така да бъдат адаптирани към особеностите на алгоритмичните системи, включително по отношение на персонализирането чрез създаване на профил. Като част от настоящото съображение одитиращата организация следва например да изготви подходяща извадка от различните групи или разделения, които могат да се получат в резултат на техниките за персонализиране, или да определи допустимата грешка и да предостави обосновка защо тя е на приемливо равнище.

(34)

Предвид нововъведенията в някои разпоредби на Регламент (ЕС) 2022/2065 е необходимо да се определят методологични принципи, включително одитни въпроси и допълнителни насоки за подбора на одитните методики и одитните доказателства за оценката на спазването на тези разпоредби, а именно за оценяване на спазването на членове 34, 35 и 36 от Регламент (ЕС) 2022/2065 относно извършването на оценки на риска и приемането на мерки за смекчаване на риска от страна на одитираните доставчици и относно изпълнението на задълженията във връзка с реагирането при кризи.

(35)

Като се има предвид, че одитиращите организации следва също така да оценяват спазването от страна на одитирания доставчик на член 37 от Регламент (ЕС) 2022/2065, следва да бъдат предоставени допълнителни уточнения относно конкретния одит, по отношение на който следва да се оценява спазването на изискванията, по-специално, за да се избегнат конфликти на интереси за одитиращата организация.

(36)

С оглед на доброволния характер на кодексите за поведение и протоколите при кризи е необходимо да се предвидят специални правила за одит на спазването на членове 45, 46 и 48 от Регламент (ЕС) 2022/2065, по-специално, за да се гарантира, че одитиращите организации разполагат с цялата необходима информация за извършване на одити, специфични за ангажиментите по всеки кодекс за поведение и протокол при кризи,