(1)

nepriklausomi auditai yra svarbi priemonė, taikoma prižiūrint, kaip labai didelių interneto platformų ir labai didelių interneto paieškos sistemų teikėjai vykdo savo pareigas pagal Reglamentą (ES) 2022/2065. Nors tame reglamente numatytos kitos atskaitomybės priemonės, kuriomis, be kita ko, užtikrinama griežtesnė skaidrumo ataskaitų ir kitų duomenų atskleidimo reikalavimų vieša kontrolė, nepriklausomos audito organizacijos atlieka ypatingą vaidmenį ankstyvame etape vertindamos, kaip tokie paslaugų teikėjai laikosi to reglamento. Tokio nepriklausomo audito išvados ir nustatyti faktai bei rekomendacijos gali būti naudingi vykdant reguliavimo priežiūrą. Be to, nepriklausomas auditas yra viena iš kelių informacijos rinkimo ir analizės priemonių, kuriomis gali naudotis reguliavimo institucijos, vykdydamos savo priežiūros ir vykdymo užtikrinimo funkcijas;

(2)

siekdama užtikrinti, kad nuo Reglamento (ES) 2022/2065 taikymo pradžios dienos, nustatytos to reglamento 92 ir 93 straipsniuose, nepriklausomas auditas būtų atliekamas veiksmingai, efektyviai, laiku ir taip, kad jo rezultatus būtų galima palyginti, Komisija turėtų nustatyti audito taisykles, visų pirma susijusias su audituojamų paslaugų teikėjų teisinėmis prievolėmis ir procedūriniais veiksmais, kuriais būtų užtikrinama, kad auditą atliekančios organizacijos atitiktų nepriklausomumo, interesų konflikto nebuvimo, ekspertinių žinių ir profesinės etikos sąlygas, nustatytas Reglamento (ES) 2022/2065 37 straipsnio 3 dalyje;

(3)

siekiant palengvinti tinkamą audito, kuriam reikalingos aukšto lygio ekspertinės žinios, atlikimą ir užkirsti kelią nenumatytiems padariniams audito paslaugų rinkoje, turėtų būti patikslinama, kad auditą pagal Reglamento (ES) 2022/2065 37 straipsnį gali atlikti keli auditoriai. Kai būtina, pavyzdžiui, dėl to, kad atliekant tam tikrų pareigų ar įsipareigojimų, kaip antai susijusių su algoritminių sistemų dizainu ir veikimu, rizikos pagrindinėms teisėms suvokimu arba neteisėto turinio plitimu, auditą reikia specialių ekspertinių žinių, audituojamas paslaugų teikėjas gali sudaryti sutartis su skirtingomis audito organizacijomis arba organizacijų konsorciumu, galinčiu atlikti tokį auditą. Audito organizacijos taip pat gali sudaryti subrangos sutartis su būtinas ekspertines žinias turinčiais subrangovais, jeigu ir audito organizacija, ir subrangovai atitinka būtinas nepriklausomumo, interesų konflikto nebuvimo, įrodyto objektyvumo ir profesinės etikos sąlygas, ir jeigu jie kartu atitinka techninių žinių sąlygas. Tokiais atvejais audituojamas paslaugų teikėjas vis tiek turėtų užtikrinti, kad bent kartą per metus būtų atliekamas visų Reglamento (ES) 2022/2065 37 straipsnio 1 dalyje nurodytų pareigų ir įsipareigojimų vykdymo auditas;

(4)

Reglamento (ES) 2022/2065 37 straipsnio 4 dalies g punkte nurodytas audito nuomones turėtų patvirtinti audito organizacijos, suteikdamos pakankamo lygio patikinimą. Kad suteiktų pakankamo lygio patikinimą, audito organizacija turėtų būti tvirtai, bet ne absoliučiai, įsitikinusi, kad nebūta iškraipymų, kaip antai praleidimų, klaidingų duomenų ar klaidų, kurios nebuvo aptiktos audito metu. Siekdama užtikrinti tokio lygio patikinimą, audito organizacija, be kita ko, turėtų gauti pakankamai įrodymų ir atlikdama vertinimą taikyti tinkamas audito metodikas;

(5)

pagal Reglamento (ES) 2022/2065 37 straipsnio 1 dalį nepriklausomas auditas turėtų būti atliekamas bent kartą per metus, derinant su metiniu rizikos vertinimo, nurodyto to reglamento 34 straipsnyje, ciklu. Tačiau tam tikrais atvejais auditą gali reikėti atlikti dažniau. Auditų seka turėtų būti tokia, kad būtų galima užtikrinti nuolatinę audituojamų paslaugų teikėjų atitikties Reglamentui (ES) 2022/2065 ir atitinkamiems elgesio kodeksams bei krizės protokolams priežiūrą. Audituojamas paslaugų teikėjas turėtų užtikrinti, kad laikotarpis, kurio metu atliekant atitinkamą auditą vertinama, kaip vykdomos audituojamos pareigos ir įsipareigojimai, papildytų ankstesnio audito, kurio metu buvo tikrinama, kaip paslaugų teikėjas vykdė tas pareigas ir įsipareigojimus, laikotarpį, ir prasidėtų ne vėliau kaip pasibaigus laikotarpiui, su kuriuo buvo susijęs ankstesnis auditas; kadangi audito užbaigimas apima tiek audito organizacijos atliktą vertinimą, tiek audito ataskaitos parengimą, audituojami paslaugų teikėjai turėtų užtikrinti, kad audito trukmė būtų tokia, kad jis būtų užbaigtas bent kartą per metus ir kad po užbaigimo audito ataskaitos nepagrįstai nedelsiant būtų pateikiamos Komisijai ir skaitmeninių paslaugų koordinatoriui, kaip nurodyta Reglamento (ES) 2022/2065 42 straipsnio 4 dalyje;

(6)

nors audituojami paslaugų teikėjai jokiomis aplinkybėmis neturėtų kištis į atliekamą auditą ir jo išvadas, jie turėtų vykdyti savo pareigas pagal Reglamento (ES) 2022/2065 37 straipsnį, be kita ko, susitardami su audito organizacija dėl sutarčių sąlygų ir, prieš pasirinkdami audito organizaciją, patikrindami, ar ta organizacija atitinka Reglamento (ES) 2022/2065 37 straipsnio 3 dalyje nustatytas sąlygas;

(7)

audituojamas paslaugų teikėjas turėtų, pavyzdžiui, įvertinti sutartis, kurias jis anksčiau buvo sudaręs su audito organizacija, arba sutartis, kurias audito organizacija buvo sudariusi su juridiniais asmenimis, susijusiais su audituojamu paslaugų teikėju. Į sutartis su audito organizacijomis audituojamas paslaugų teikėjas taip pat turėtų įtraukti nuostatas, užtikrinančias, kad būtų laikomasi Reglamento (ES) 2022/2065 37 straipsnio 3 dalyje nustatytų sąlygų. Jeigu audito organizacija apima kelis subjektus, audituojamas paslaugų teikėjas turėtų įsitikinti, kad visi tie subjektai, įskaitant, atitinkamais atvejais, visus subrangovus, kuriuos audito organizacija samdo tam, kad jie bet kokiu būdu padėtų atlikti auditą, atitiktų tas sąlygas. Kadangi kiekvienas auditą atliekantis subjektas turėtų atskirai atitikti nepriklausomumo reikalavimus ir reikalavimus dėl interesų konflikto nebuvimo, tie subjektai turėtų kartu atitikti reikalavimus, susijusius su kompetencija, ekspertinėmis žiniomis arba techniniais ištekliais, kad skirtingi subjektai galėtų atlikti skirtingas audito dalis ir taip prisidėtų auditui atlikti reikalingais pajėgumais, kompetencijomis ir ekspertinėmis žiniomis. Audito ataskaitoje turėtų būti nurodyta kiekvieno iš tų subjektų atsakomybė už atitinkamas audito dalis;

(8)

pagal Reglamento (ES) 2022/2065 37 straipsnio 3 dalies a punkto i papunktį, audituojamas paslaugų teikėjas, tikrindamas, ar audito organizacija atitinka nepriklausomumo reikalavimus ir reikalavimus dėl interesų konflikto nebuvimo, turėtų atkreipti ypatingą dėmesį į tai, ar audito organizacija neteikia audituojamam paslaugų teikėjui ne audito paslaugų. Audituojamas paslaugų teikėjas turėtų, pavyzdžiui, įvertinti, ar jam buvo suteiktos paslaugos, kaip antai susijusios su bet kokia sistema, programine įranga ar procesu, susijusiais su audituojama pareiga ar įsipareigojimu – pavyzdžiui, konsultavimo paslaugos, teikiamos vertinant veiklos rezultatus, valdymą ir programinę įrangą, mokymo paslaugos, sistemų kūrimas ar priežiūra arba turinio moderavimas pagal subrangos sutartį. Tokios paslaugos taip pat apima audituojamam paslaugų teikėjui teikiamas paslaugas, susijusias su konsultacijomis dėl vidaus kontrolės priemonių, arba su vidaus kontrolės priemonių plėtojimu arba vertinimu vidaus tikslais, kaip audituojamas paslaugų teikėjas laikosi Reglamento (ES) 2022/2065 arba elgesio kodeksų ir krizės protokolų, įskaitant atvejus, kai atliekami tik siauros paskirties testai, kaip antai trečiosios šalies atliekami turinio moderavimo sistemų veikimo testai. Tai neturėtų kliudyti pasirinkti audito organizacijas, kurios atliko teisės aktais nustatytus finansinius auditus;

(9)

atsižvelgiant į tai, kad atitikties auditai pagal Reglamentą (ES) 2022/2065 yra sudėtingi ir ypatingo pobūdžio, su atitinkamais klausimais susijusios audito organizacijos ekspertinės žinios yra labai svarbios atliekant auditą, po kurio suteikiamas pakankamo lygio patikinimas, taip pat taikant profesinį vertinimą ir skepticizmą, kad ta organizacija galėtų, pavyzdžiui, žinoti, kokios informacijos jai reikia audito procedūroms atlikti arba prieštaringai informacijai užginčyti. Todėl audituojamas paslaugų teikėjas turėtų patikrinti, ar audito organizacija teikia tokias ekspertines žinias, be kita ko, rizikos valdymo srityje, susijusias tiek su audito rizika, tiek su Reglamento (ES) 2022/2065 dalyku, ir visų pirma su to reglamento 34 straipsnyje nurodyta sistemine visuomenei kylančia rizika. Be to, audituojamas paslaugų teikėjas turėtų patikrinti audito organizacijos techninę kompetenciją ir gebėjimus, atsižvelgdamas į konkrečią audituojamą paslaugą, įskaitant jos dalyko ekspertines žinias, pavyzdžiui, susijusias su algoritminių sistemų, kaip antai rekomendavimo sistemų ir kitų paslaugų teikėjo prižiūrimų socialinių ir techninių sistemų, veikimu ir poveikiu. Audito organizacija turėtų turėti galimybę sudaryti subrangos sutartis arba kitaip gauti ir panaudoti būtinas ekspertines žinias ir pajėgumus, o audituojamas paslaugų teikėjas turėtų patikrinti ir užtikrinti, kad audito organizacija galėtų laiku gauti tas ekspertines žinias ir pajėgumus, siekdama atlikti auditą;

(10)

tikrindamas, ar audito organizacijos atitinka Reglamento (ES) 2022/2065 37 straipsnio 3 dalyje nustatytas sąlygas, audituojamas paslaugų teikėjas turėtų įvertinti atitinkamus įrodymus, įskaitant, kai tinkama, audito organizacijos išduotus sertifikatus, deklaracijas ir audito ataskaitas. Tinkamas ekspertines žinias turėtų būti galima įrodyti, pavyzdžiui, pateikiant informaciją apie praktinę rizikos vertinimo ir valdymo patirtį, taip pat akademinę veiklą, mokslines publikacijas ir patirtį, sukauptą atliekant atitinkamus auditus. Audito ataskaitose turėtų būti pateikiami visi susiję patvirtinamieji dokumentai, kuriais būtų patvirtinama, kad audito organizacija atitinka būtinas sąlygas;

(11)

pagal Reglamento (ES) 2022/2065 37 straipsnio 2 dalį, audituojamas paslaugų teikėjas turi užtikrinti visą būtiną bendradarbiavimą ir pagalbą, reikalingus, kad audito organizacija galėtų veiksmingai, efektyviai ir laiku atlikti auditą, jis taip pat jokiu būdu negali trukdyti nepriklausomai audito organizacijai priimti sprendimus. Pavyzdžiui, audituojamas paslaugų teikėjas neturėtų, taikydamas bet kokius sutartyje numatytus ar kitokius apribojimus ar paskatas, nustatyti gairių, teikti rekomendacijų ar kitaip daryti poveikį audito organizacijai pasirenkant ir vykdant audito procedūras, metodikas, renkant ir apdorojant informacijos ir audito įrodymus, analizę, testus, audito nuomonę ar rengiant audito išvadas;

(12)

siekdamas užtikrinti būtiną bendradarbiavimą ir pagalbą audito metu, audituojamas paslaugų teikėjas turėtų užtikrinti, kad audito organizacijai būtų suteikiama galimybė susipažinti su visa auditui atlikti reikalinga informacija. Audituojamas paslaugų teikėjas turėtų kuo anksčiau, bet kuriuo atveju – prieš audito organizacijai pradedant vykdyti audito procedūras, nusiųsti jai visus reikalingus dokumentus ir paaiškinimus. Pavyzdžiui, pagal Reglamento (ES) 2022/2065 41 straipsnio 3 dalies d ir e punktus, audituojamo paslaugų teikėjo atitikties užtikrinimo funkcija yra stebėti, kaip vykdomos visos audituojamos pareigos ir įsipareigojimai, todėl jis turėtų parengti vidaus kontrolės priemones. Todėl audito organizacijai turėtų būti suteikiama prieiga prie visos informacijos apie tokias kontrolės priemones, taip pat prie visos kitos informacijos, apibūdinančios audituojamo paslaugų teikėjo atitikties užtikrinimo strategiją. Visų pirma, audituojamas paslaugų teikėjas turėtų pateikti audito organizacijai lyginamuosius standartus, kuriais jis remiasi siekdamas užtikrinti atitiktį Reglamentui (ES) 2022/2065, kad audito organizacija šia informacija galėtų pagrįsti audito kriterijus. Be to, audito organizacijai turėtų būti suteikta prieiga prie bet kokios audituojamo paslaugų teikėjo galimai atliktos būdingos rizikos ir kontrolės rizikos analizės. Tas paslaugų teikėjas audito organizacijai turėtų pateikti informaciją, kuri padėtų geriau suprasti audituojamą paslaugą, jos valdymą, atitinkamų darbo grupių ir sprendimų priėmimo struktūrų kompetenciją, be kita ko, jo atitikties funkciją, be to, supažindinti su savo informacinių technologijų (IT) sistemomis, duomenimis ir įrašų struktūromis, taip pat įvairių auditui svarbių algoritminių sistemų sąveika;

(13)

atlikdama auditą audito organizacija turėtų turėti galimybę bet kuriuo metu paprašyti pateikti bet kokią kitą reikalingą informaciją. Prieiga prie tos informacijos turėtų būti suteikiama nepagrįstai nedelsiant ir taip, kad jokiu būdu nebūtų trukdoma atlikti auditą. Tai pasakytina apie prieigą prie duomenų, įskaitant asmens duomenis, surinktų iš įvairių šaltinių, kaip antai dokumentų, algoritminių sistemų, duomenų bazių ar, tam tikrais atvejais, pokalbių metu. Audituojamas paslaugų teikėjas taip pat turėtų suteikti audito organizacijai prieigą prie procedūrų ir procesų, IT sistemų, kaip antai algoritminių ir informacinių sistemų, taip pat bandomosios aplinkos. Siekdamas suteikti audito organizacijai galimybę veiksmingai patikrinti tokias sistemas, audituojamas paslaugų teikėjas turėtų skirti visus būtinus išteklius, reikalingus padėti tai organizacijai gauti prieigą prie sistemų ir jas įvertinti, pavyzdžiui, paskirdamas savo kompetentingus darbuotojus, galinčius atsakyti į klausimus arba valdyti bandomąją aplinką ir paaiškinti, kaip ji veikia, arba sudaryti palankesnes sąlygas bet kokiai kitai būtinai prieigai prie darbuotojų ir patalpų (pvz., pastatų). Galimybė susipažinti su procedūromis ir procesais galėtų būti susijusi su, pavyzdžiui, galimybe susipažinti su aprašais ar dokumentais, susijusiais su audituojamo paslaugų teikėjo vidaus sprendimų priėmimo procesu. Suteikiant prieigą prie atitinkamos informacijos taip pat gali prireikti, kad, vykdydamas savo pareigą bendradarbiauti ir teikti pagalbą, audituojamas paslaugų teikėjas imtųsi kitų papildomų veiksmų. Pavyzdžiui, pokalbiams su darbuotojais gali prireikti saugių patalpų, kurias turėtų suteikti audituojamas paslaugų teikėjas. Kai tai būtina auditui atlikti, audituojami paslaugų teikėjai savo pareigą bendradarbiauti su audito organizacija ir teikti jai pagalbą turėtų vykdyti, be kita ko, sudarydami palankesnes sąlygas susipažinti su atitinkamais duomenimis, susijusiais su jų operacijomis, kuriais disponuoja jų trečiosios šalys rangovės. Tai, pavyzdžiui, gali būti turinio moderavimo veiksmų, mokomosios medžiagos arba gairių, kurias naudoja turinį moderuojančios trečiosios šalys rangovės arba IT sprendimų pardavėjai arba paslaugų teikėjai, įskaitant, pavyzdžiui, audituojamo paslaugų teikėjo naudojamų rekomendavimo sistemų arba reklamos sistemų algoritmus ir taikomąsias programas, rezultatai;

(14)

siekiant sudaryti palankesnes sąlygas prasmingam audito išvadų skaidrumui ir numatyti išsamų bei palyginamą audito ataskaitų, nurodytų Reglamento (ES) 2022/2065 37 straipsnio 4 dalyje, ir to reglamento 37 straipsnio 6 dalyje nurodytų audito įgyvendinimo ataskaitų formatą, šiame reglamente turėtų būti nustatyti tų ataskaitų šablonai ir reikalavimas, kad kiekviena ataskaita būtų pateikiama su tam tikrais priedais. Nors pagal šiame reglamente nustatytus šablonus reikalaujama teikti išsamias ataskaitas, jie neturėtų daryti poveikio Reglamento (ES) 2022/2065 42 straipsnio 4 ir 5 dalyse nustatytiems ataskaitų skelbimo reikalavimams;

(15)

siekiant užtikrinti, kad audito organizacija iš audituojamo paslaugų teikėjo gautų visą reikalingą pagalbą, kuri būtų teikiama jam nesikišant į atliekamą auditą, ir kad audito organizacija atitiktų visas audito rengimo sąlygas ir laiku pateiktų kokybišką audito ataskaitą, reikalingą pakankamo lygio patikinimui pasiekti, tam tikromis taisyklėmis turėtų būti nustatytos pasirengimo auditui procedūros. Audituojamo paslaugų teikėjo ir audito organizacijos, įskaitant visus subrangovus ar organizacijas partneres ir už audito atlikimą atsakingus darbuotojus, pareigos ir įsipareigojimai turėtų būti išdėstyti rašytiniame susitarime, be kita ko, sutarties sąlygose. Rašytiniame susitarime taip pat turėtų būti nurodytos audituojamos pareigos ir įsipareigojimai, išteklių paskirstymas, audito organizacijos ir audituojamo paslaugų teikėjo sąveikos ir ryšių palaikymo taisyklės. Visi patvirtinamieji dokumentai ir sutartys turėtų būti pridedami prie audito ataskaitos, įskaitant atvejus, kai tokie dokumentai parengiami kaip įsipareigojimo atlikti auditą raštas ar kitos sutarties sąlygos;

(16)

siekiant pateikti išsamią apžvalgą ir palengvinti audituojamų paslaugų teikėjų atskaitomybę, audito ataskaitoje turėtų būti pateikiama audito organizacijos atlikto vertinimo, ar audituojamas paslaugų teikėjas vykdo kiekvieną audituojamą pareigą ar įsipareigojimą, išvada. Kiekviena audito išvada turėtų būti grindžiama pakankamo lygio patikinimu ir turėtų būti teigiama, teigiama su pastabomis arba neigiama, kad būtų galima tinkamai pagrįsti audito nuomonę. Teigiama išvada su pastabomis neturėtų būti susijusi su pačiu atitikties vertinimu. Tokiose pastabose galėtų būti nurodoma, pavyzdžiui, tai, kad audito organizacijos prašymu paslaugų teikėjas turi parengti informaciją arba patobulinti savo vykdomą techninę priežiūrą arba kontrolę, arba tai, kad atsižvelgiama į tolesnius rizikos mažinimo planus ir patobulinimus, kuriuos ketina atlikti paslaugų teikėjas. Bet kuriuo atveju, jeigu audito organizacija mano, kad, remiantis audituojamo paslaugų teikėjo pateiktais lyginamaisiais standartais, audituojamas paslaugų teikėjas vykdo audituojamą pareigą ar įsipareigojimą, tačiau ji laiko, kad būtina įtraukti pastabų dėl tų standartų, audito išvada turėtų būti teigiama su pastabomis, kadangi tokios pastabos, pagrįstos audito organizacijos žiniomis bei patirtimi ir iš išorės šaltinių gauta informacija, galėtų suteikti naudingos informacijos paslaugų teikėjui apie galimybes atlikti jo lyginamųjų standartų pakeitimus. Pavyzdžiui, pastabos galėtų būti grindžiamos Komisijos gairėmis, be kita ko, Reglamento (ES) 2022/2065 35 straipsnio 3 dalyje nurodytomis Komisijos gairėmis ir visomis kitomis susijusiomis Komisijos paskelbtomis gairėmis dėl to reglamento taikymo, to reglamento 35 straipsnio 2 dalyje nurodytomis Europos skaitmeninių paslaugų valdybos ataskaitomis, vykdymo užtikrinimo veiksmais, Komisijos pagal tą reglamentą priimtais sprendimais, susijusia jurisprudencija (visų pirma – Europos Sąjungos Teisingumo Teismo), viešomis konsultacijomis ar kitais atitinkamais patikimais šaltiniais;

(17)

siekiant vykdyti viešą kontrolę ir teisės aktais nustatytą priežiūrą, tais atvejais, kai audito išvada yra neigiama, bet taikoma tik tam tikram laikotarpiui, o audito organizacija mano, kad audituojamas paslaugų teikėjas likusiu audituojamu laikotarpiu vykdė savo pareigą ar įsipareigojimą, audito ataskaitoje tai turėtų būti nurodyta dėl kiekvienos atitinkamos pareigos ar įsipareigojimo; Ataskaitoje turėtų būti pateikiamos audito organizacijos pastabos apie bet kokią informaciją, kurią audituojamas paslaugų teikėjas jai pateikė apie įgyvendinamus rizikos mažinimo planus ar numatomas taisomąsias priemones reikalavimų nesilaikymo atvejams pašalinti;

(18)

atsižvelgiant į skirtingą Reglamento (ES) 2022/2065 III skyriuje nustatytų teisinių pareigų ir savanoriškų įsipareigojimų, prisiimtų pagal elgesio kodeksus ir krizės protokolus pagal to reglamento 45, 46 ir 48 straipsnius, pobūdį, audito organizacija turėtų pateikti audito nuomones dėl atitikties tam skyriui ir kiekvienam kodeksui bei protokolui;

(19)

siekiant atlikti auditą, po kurio būtų suteiktas pakankamo lygio patikinimas, ir parengti atitinkamas audito procedūras pagal metodikas, kuriomis iki žemo lygio sumažinama audito rizika, pagrindinė audito atlikimo metodikos dalis turėtų būti susijusi su audito rizikos, t. y. rizikos, kad audito organizacija gali pateikti netinkamą audito nuomonę ar išvadą, įvertinimu. Todėl audito organizacija turėtų įvertinti audito riziką pačioje audito pradžioje, prieš nustatydama tikslią metodiką ir pradėdama vykdyti audito procedūras. Audito rizikos analizė yra būtina siekiant, kad audito organizacija galėtų pasirinkti tikslias audito metodikas ir nustatyti, kiek išsamios turi būti audito procedūros, kad būtų pasiektas pakankamas audito nuomonės patikinimo lygis. Audito organizacija turėtų atlikti audito rizikos analizę atsižvelgdama į būdingą riziką, kontrolės riziką ir neaptikimo riziką, kad įvertintų, kaip vykdoma kiekviena audituojama pareiga ar įsipareigojimas;

(20)

siekiant teisingai įvertinti audito riziką, atliekant audito rizikos analizę reikėtų atsižvelgti į audituojamos paslaugos pobūdį, visų pirma į jos rizikos profilį, taip pat į audito apimtį bei sudėtingumą. Pavyzdžiui, tikėtina, kad interneto platformoms, kuriose galima sudaryti nuotolinės prekybos sutartis tarp vartotojų, būdinga rizika bus kitokia nei dalijimosi vaizdo įrašais platformoms ar paieškos sistemoms būdinga rizika. Be to, turėtų būti atsižvelgiama į socialines ir ekonomines aplinkybes, kuriomis teikiama audituojama paslauga – pavyzdžiui, į tipines naudotojų grupes, kaip antai nepilnamečius, arba į dažnai pastebimą elgesį, kaip antai dažnai fiksuojamą neautentišką naudojimą ir koordinuotą elgesį vykdant dezinformacijos kampanijas. Socialinės ir ekonominės aplinkybės, į kurias reikia atsižvelgti, taip pat turėtų apimti krizinių situacijų ir netikėtų įvykių tikimybę ir – atskirai – poveikio rimtumą, kaip nurodyta Reglamente (ES) 2022/2065;

(21)

siekiant užtikrinti, kad audito rizikos analizė atspindėtų rizikos, susijusios su atitinkama paslauga, raidą, kai tinkama, audito rizikos analizė taip pat turėtų būti grindžiama ankstesnių auditų, kurie buvo atlikti audituojamo paslaugų teikėjo atžvilgiu, informacija ir informacija, gauta iš tokių šaltinių, kaip antai kitų paslaugų teikėjų, kuriems būdingas panašus rizikos profilis, audito ataskaitos. Siekiant užtikrinti, kad audito rizikos analizė būtų visapusiškai pagrįsta naujausiais rizikos įrodymais, nustatytais aplinkybėmis, panašiomis į tas, kuriomis veikia audituojamas paslaugų teikėjas, ir patikimais šaltiniais, kurie yra tiesiogiai susiję su Reglamento (ES) 2022/2065 taikymu, analizė taip pat turėtų būti grindžiama informacija, pateikta Europos skaitmeninių paslaugų valdybos parengtose ataskaitose arba, kai taikytina, Komisijos gairėse. Kita informacija taip pat galėtų apimti audito ataskaitų, kurias pagal Reglamento (ES) 2022/2065 42 straipsnio 4 dalį skelbia kiti labai didelių interneto platformų arba labai didelių interneto paieškos sistemų paslaugų teikėjai, informaciją;

(22)

audito organizacija, audituojamam paslaugų teikėjui nedarant poveikio, turėtų parengti audito metodikas, skirtas įvertinti, kaip vykdomos audituojamos pareigos ir įsipareigojimai. Audito kriterijai turėtų būti grindžiami audituojamo paslaugų teikėjo pateikta informacija, susijusia su lyginamaisiais standartais, kuriuos audituojamas paslaugų teikėjas taiko vykdydamas atitikties stebėseną. Metodikoje taip pat gali būti atsižvelgiama į kitą audituojamo paslaugų teikėjo pateiktą informaciją, kaip antai į būdingos rizikos analizę, jeigu audituojamas paslaugų teikėjas yra atlikęs tokią analizę, pavyzdžiui, taikydamas Reglamento (ES) 2022/2065 41 straipsnyje nurodyto atitikties užtikrinimo pareigūno arba valdymo organo parengtas priemones arba kitas paslaugos veikimo procese įdiegtas priemones, skirtas to Reglamento 34 straipsnyje nurodytiems sisteminės rizikos vertinimams atlikti;

(23)

siekiant užtikrinti, kad audito metodikos būtų tinkamos ir jas taikant būtų galima pasiekti pakankamą audito nuomonių patikinimo lygį, pasirenkant audito procedūrų metodiką turėtų būti atsižvelgiama į audituojamos pareigos ar įsipareigojimo specifiką ir ji turėtų būti pritaikyta, pavyzdžiui, prie audituojamos pareigos, kaip prievolės užtikrinti tam tikrą rūpestingumo laipsnį, arba prievolės pasiekti rezultatą, kurį paslaugų teikėjas turi pasiekti, kad atitiktų reikalavimus, pobūdžio. Pavyzdžiui, audito procedūros, skirtos įvertinti, ar laikomasi skaidrumo ataskaitų teikimo reikalavimų pagal Reglamento (ES) 2022/2065 15 straipsnį, galėtų padėti audito organizacijai padaryti išvadą, ar ataskaitos buvo paskelbtos laikantis tame reglamente nustatytų terminų ir formų, taip pat ar jos yra išsamios ir ar pateikti duomenys yra tikslūs, reprezentatyvūs ir tinkamai suskirstyti pagal, pavyzdžiui, neteisėto turinio, dėl kurio imtasi veiksmų, kategoriją;

(24)

metodikos pasirinkimas taip pat turėtų priklausyti nuo to, ar atlikdama atitikties vertinimą audito organizacija turi interpretuoti aplinkybes. metodikos taip pat turėtų būti parenkamos atsižvelgiant į būdingą riziką, susijusią su veikla, vykdoma teikiant paslaugą, ir į aplinkybes, kuriomis paslauga teikiama, pavyzdžiui, ar paslauga yra susijusi su prekių, kurios gali būti neteisėtos, pardavimu, arba ar paslauga pirmiausia naudojasi nepilnamečiai. Pavyzdžiui, Reglamento (ES) 2022/2065 28 straipsnio 1 dalyje nurodytų pareigų įdiegti tinkamas ir proporcingas priemones, kuriomis užtikrinamas aukštas nepilnamečių privatumo, saugos ir saugumo lygis, vertinimo metodikos turėtų būti tokios, kad audito organizacija galėtų pakankamai suprasti, kaip nepilnamečiai naudojasi audituojama paslauga ir kokia gali kilti rizika jų privatumui, saugai ir saugumui, taip pat kokia priemonė gali būti laikoma tinkama ir proporcinga konkrečiomis audituojamos paslaugos ir nepilnamečių naudojimosi ja aplinkybėmis; Tuo tikslu audito organizacijos vertinimą turėtų suskirstyti į atitinkamus veiksmus. Jos turėtų įvertinti audito riziką pagal audituojamo paslaugos teikėjo rizikos profilį, konkrečiau tai, ar jo teikiamomis paslaugomis gali naudotis arba ar jomis daugiausia naudojasi nepilnamečiai. Pavyzdžiui, audito organizacijos turėtų įvertinti, ar paslaugos teikėjas ėmėsi amžiaus užtikrinimo priemonių, ar šios yra veiksmingos ir kaip audituojamas paslaugų teikėjas vertina ir stebi jų veiksmingumą. Audito organizacijos turėtų įvertinti, ar audituojamas paslaugų teikėjas ėmėsi tinkamų priemonių kenksmingam jo paslaugų naudojimui ir elgsenos modeliams, kuriais siekiama daryti žalingą poveikį arba greičiausiai būtų daromas žalingas poveikis nepilnamečiams, nustatyti;

(25)

metodikos turėtų būti pasirenkamos atsižvelgiant į kontrolės riziką, susijusią su audituojamo paslaugų teikėjo taikomomis atitikties užtikrinimo priemonėmis, taip pat su neaptikimo rizika, t. y. rizika, kad nebus aptikta informacijos, kurią paslaugos teikėjas pateikia audito organizacijai, iškraipymų. Pavyzdžiui, tais atvejais, kai audituojama pareiga, kaip antai rekomendavimo sistemų atžvilgiu nustatyta informacijos atskleidimo pareiga pagal Reglamento (ES) 2022/2065 27 straipsnį, gali apimti algoritminės sistemos, grindžiamos atskirų audituojamos paslaugos gavėjų personalizavimu ir pasikartojančiais algoritminės sistemos atnaujinimais, auditą, pasirinkdama metodiką audito organizacija turėtų turėti galimybę parengti tinkamus testus, kad kuo labiau sumažintų neaptikimo riziką. Taip pat ir tais atvejais, kai audito organizacija siekia įvertinti, ar buvo sumažinta visa rizika, susijusi su audituojamo paslaugų teikėjo įdiegtų taikomųjų programų, pagrįstų didelio masto kalbos modeliais, kaip antai pokalbių funkcijomis arba rekomendavimo sistemomis, dizainu, veikimu ar naudojimu, pirmiausia ji turėtų įvertinti paslaugų teikėjo taikomų kontrolės priemonių tinkamumą. Renkantis šiuos testus turėtų būti atsižvelgiama į tų vidaus kontrolės priemonių patikimumą. Visų pirma, be kita ko, tais atvejais, kai vidaus kontrolės priemonės yra silpnos, neišsamios arba nepakankamai įtikinamos, kad būtų galima įvertinti, ar vertinant audituojamos paslaugos gavėjų tiriamąją visumą laikomasi taisyklių, audito procedūros turėtų būti grindžiamos metodikų deriniu. Pavyzdžiui, tokios metodikos gali apimti esmines analitines procedūras, kaip antai visų į rekomendavimo sistemas įtrauktų algoritminių sistemų sąveikos ir susijusių sprendimų priėmimo taisyklių bei procesų, kuriuos taikant nustatomi pagrindiniai tų rekomendavimo sistemų parametrai, analizę, taip pat skaitmeninių įrašų ir registracijos žurnalų pastabas. Metodikos taip pat turėtų apimti sistemų testus, pvz., testus modeliuojamojoje aplinkoje;

(26)

siekiant užtikrinti, kad metodika būtų aktuali ir pritaikyta prie naujų audito metu nustatytų faktų, metodikos turėtų būti atrenkamos remiantis audito organizacijos profesiniu vertinimu ir pakoreguojamos taip, kad būtų atsižvelgiama į tuos naujus nustatytus faktus, visų pirma tais atvejais, kai audito organizacijai kyla pagrįstų abejonių dėl audituojamo paslaugų teikėjo pateiktos informacijos. Audito organizacijos profesinis skepticizmas turėtų būti grindžiamas jos ekspertinėmis žiniomis, taip pat kitais informacijos šaltiniais, kurie yra ypač svarbūs taikant Reglamentą (ES) 2022/2065, pavyzdžiui, Europos skaitmeninių paslaugų valdybos ataskaitomis, Komisijos gairėmis, audito ataskaitomis, parengtomis pagal elgesio kodeksus arba krizės protokolus, nurodytus to reglamento 45, 46 ir 48 straipsniuose, arba informacija, gauta atliekant auditą, įskaitant informaciją, susijusią su įvykiais, visų pirma krizinėmis situacijomis, dėl kurių audituojamas paslaugų teikėjas turi imtis papildomų veiksmų, kad būtų užtikrintas tam tikrų audituojamų pareigų ar įsipareigojimų vykdymas;

(27)

siekdamos užtikrinti, kad audito metu būtų surinkta pakankamai audito įrodymų, audito organizacijos turėtų įvertinti audituojamo paslaugų teikėjo vidaus kontrolės priemones ir atlikti esmines audito procedūras, skirtas audituojamo paslaugų teikėjo atitikčiai įvertinti. Tam tikrais atvejais audito organizacija taip pat turėtų atlikti testus;

(28)

atsižvelgiant į interneto platformų paslaugų teikėjų naudojamų algoritminių sistemų sudėtingumą ir jų svarbų vaidmenį vykdant tam tikras Reglamente (ES) 2022/2065 nustatytas pareigas, ypatingas dėmesys turėtų būti skiriamas reikalingų ir tinkamų algoritminių sistemų audito metodikų pasirinkimui. Tai taikytina ir tuo atveju, kai algoritminės sistemos yra audituojamo paslaugų teikėjo taikomų kontrolės priemonių dalis, ir kai jos pačios yra audituojamų pareigų ar įsipareigojimų objektas, kaip antai rekomendavimo sistemos pagal, pavyzdžiui, Reglamento (ES) 2022/2065 27, 34, 35 ir 38 straipsnius, reklamos sistemos pagal, pavyzdžiui, to reglamento 26, 28, 34, 35 ir 39 straipsnius, turinio moderavimo sistemos pagal, pavyzdžiui, to reglamento 14, 15, 34 ir 35 straipsnius, arba bet kuri kita algoritminė sistema, dėl kurios gali kilti to reglamento 34 straipsnyje nurodyta rizika;

(29)

taip pat turėtų būti taikomos esminės analitinės procedūros, įskaitant, kai tinkama, procedūros, grindžiamos pastabomis dėl audituojamo paslaugų teikėjo procesų ir veiksmų projektuojant, plėtojant, eksploatuojant, bandant ir stebint algoritminių sistemų, arba sistemų sukurtų skaitmeninių įrašų ir žurnalų pastabomis. Metodikos turėtų būti pritaikomos prie algoritminių sistemų ypatumų, įskaitant jų valdymą, skirtingų algoritminių sistemų ir susijusių duomenų valdymo sistemų sąveiką, taip pat prie technologijų, kuriomis grindžiamos tos algoritminės sistemos, kaip antai generatyvinio modeliavimo ar kitų klasifikatorių, atrankos ar paieškos algoritmų;

(30)

be to, algoritminių sistemų audito metodikos turėtų apimti testus, pavyzdžiui, tokius, kuriais siekiama surinkti informaciją, kurios audituojamas teikėjas anksčiau nebuvo pagrindęs dokumentais, arba savarankiškai atkurti ir įvertinti tikslumo rodiklių, testų bandomojoje aplinkoje ar modeliuojamojoje aplinkoje arba gamybos sistemų testų rezultatus, be kita ko, atkuriant duomenis arba atliekant atsparumo kenksmingiems veiksmams testus;

(31)

atsižvelgiant į tai, kad aukšta audito įrodymų kokybė yra būtina sąlyga, kad audito organizacija galėtų priimti audito nuomonę su pakankamo lygio patikinimu, informacija, kurią audito organizacija nusprendžia naudoti kaip audito įrodymus, turėtų būti tinkama ir pakankama audito rizikai sumažinti. Be to, audito įrodymai turėtų būti patikimi remiantis audito organizacijos profesiniu vertinimu ir skepticizmu ir, kai tinkama, alternatyviais informacijos šaltiniais. Profesinis vertinimas ir skepticizmas turėtų apimti kritinį audito įrodymų ir galimų iškraipymų vertinimą. Tie kokybės standartai turėtų būti taikomi visiems audito įrodymams, nepriklausomai nuo to, ar juos pateikia audituojamas paslaugų teikėjas, ar jie surenkami iš kitų šaltinių;

(32)

audito organizacija turėtų apsvarstyti galimybę remtis įvairiais informacijos šaltiniais, kurie galėtų apimti, pavyzdžiui, pokalbius su to audituojamo paslaugų teikėjo darbuotojais arba rangovais, įskaitant atitikties užtikrinimo pareigūnus, inžinierius, duomenų mokslininkus, programinės įrangos architektus arba vidaus audito grupių narius. Tai taip pat gali būti techniniai dokumentai, susiję su atitinkamos sistemos dizainu, diegimu, testavimu ir stebėsena, įskaitant duomenų kokybę ir valdymą, sistemos atnaujinimus ir versijas, ir kiti dokumentai, susiję su audituojamo paslaugų teikėjo valdymo ir sprendimų priėmimo procesais, be kita ko, atsižvelgiant į prioritetus, išteklius, užduočių ir pareigų paskirstymą arba atitinkamų darbuotojų ekspertines žinias;

(33)

siekiant užtikrinti audito veiksmingumą ir proporcingumą, audito organizacijai turėtų būti leidžiama atrinkti duomenis ir informaciją, tinkamai atsižvelgiant į reprezentatyviosios imties sudarymą, kad audito organizacija galėtų priimti audito nuomonę su pakankamo lygio patikinimu. Siekiant užtikrinti audito procedūrų skaidrumą ir atkuriamumą, audito organizacija audito ataskaitoje turėtų pagrįsti imties dydžio ir atrankos metodo pasirinkimą. Pavyzdžiui, imties dydis ir metodika turėtų būti parenkami atsižvelgiant į tai, kas yra veiksminga siekiant konkretaus su audituojama pareiga ar įsipareigojimu susijusio audito tikslo, ir siekiant kuo labiau sumažinti riziką, kad konkrečios imties audito išvados skirsis nuo išvados, kuri būtų padaryta, jeigu audito procedūra būtų taikoma visai tiriamajai įrodymų visumai. Imties dydis ir metodika turėtų būti atrenkami atsižvelgiant į visą audito apimtį, taip pat į vidinius ar išorinius audituojamos paslaugos pokyčius, vykusius tuo laikotarpiu. Jie taip pat turėtų būti pritaikyti prie algoritminių sistemų ypatumų, be kita ko, kiek tai susiję su personalizavimu atliekant profiliavimą. Atsižvelgdama į šiuos aspektus, audito organizacija turėtų, pavyzdžiui, sudaryti tinkamą imtį iš įvairių kohortų ar skaidinių, kurių gali atsirasti taikant personalizavimo metodus, arba nustatyti paklaidą ir pagrįsti, kodėl ji yra priimtino lygio;

(34)

atsižvelgiant į tam tikrų Reglamento (ES) 2022/2065 nuostatų naujoviškumą, būtina nustatyti metodinius principus, įskaitant audito klausimus ir tolesnes gaires dėl audito metodikų ir audito įrodymų, skirtų tų nuostatų laikymuisi įvertinti, atrankos, t. y. dėl atitikties Reglamento (ES) 2022/2065 34, 35 ir 36 straipsniams vertinimo, dėl audituojamų paslaugų teikėjų atliekamo rizikos vertinimo ir rizikos mažinimo priemonių priėmimo ir dėl pareigų, susijusių su reagavimu į krizes, taikymo;

(35)

atsižvelgiant į tai, kad audito organizacijos taip pat turėtų įvertinti, ar audituojamas paslaugų teikėjas laikosi Reglamento (ES) 2022/2065 37 straipsnio, taip pat turėtų būti pateikiamos papildomos tikslaus audito, kurio atžvilgiu turėtų būti vertinama atitiktis, specifikacijos, visų pirma siekiant išvengti bet kokių audito organizacijos interesų konfliktų;

(36)

atsižvelgiant į tai, kad elgesio kodeksai ir krizės protokolai yra savanoriško pobūdžio, būtina nustatyti konkrečias atitikties Reglamento (ES) 2022/2065 45, 46 ir 48 straipsniams audito taisykles, visų pirma siekiant užtikrinti, kad audito organizacijos turėtų visą reikalingą informaciją ir galėtų atlikti auditą, susijusį su įsipareigojimais, prisiimtais pagal kiekvieną elgesio kodeksą ir krizės protokolą,