Artykuł 10

1. Bez uszczerbku dla konkretnych metodyk audytowych określonych w art. 13, 14 i 15 audyty przeprowadza się z wykorzystaniem odpowiednich metodyk audytowych w celu ograniczenia ocenianego ryzyka audytu do poziomu, który umożliwia organizacji audytowej wyciągnięcie wniosków z audytu z wystarczającym poziomem pewności.

2. Sprawozdanie z audytu zawiera opis metodyki audytowej, którą organizacja audytowa opracowała przed przeprowadzeniem jakichkolwiek procedur audytu, w tym co najmniej:

a) kryteria audytu służące ocenie wypełniania każdego obowiązku lub zobowiązania będącego przedmiotem audytu, określone na podstawie informacji zgodnie z art. 5 ust. 1 lit. a), oraz tolerowany próg istotności wyrażony odpowiednio w kategoriach jakościowych lub ilościowych;

b) wszystkie testy i bezpośrednie procedury analityczne oraz dowody audytowe, które organizacja audytowa zamierza wykorzystać do oceny wypełniania każdego obowiązku lub zobowiązania będącego przedmiotem audytu.

Sprawozdanie z audytu zawiera opis wszelkich zmian w metodykach stosowanych podczas przeprowadzania audytu w porównaniu z metodykami opracowanymi przed przeprowadzeniem procedur audytu.

3. W przypadku gdy organizacja audytowa ma uzasadnione wątpliwości co do informacji ocenionych w trakcie przeprowadzania audytu, w szczególności w odniesieniu do informacji przedstawionych przez audytowanego dostawcę, wybór i stosowanie metodyki dostosowuje się, aby dostarczyć tej organizacji niezbędne dowody audytowe zgodnie z art. 11.

4. Uznaje się, że uzasadnione wątpliwości, o których mowa w ust. 3, powstają w szczególności w obecności któregokolwiek z następujących elementów:

a) osąd zawodowy i sceptycyzm w ocenie informacji, w tym dotyczących kontroli wewnętrznych audytowanego dostawcy, które skłaniają organizację audytową do sformułowania uzasadnionych wątpliwości;

b) przesłanek zewnętrznych wskazujących na ryzyko audytu, w szczególności sprawozdań Europejskiej Rady ds. Usług Cyfrowych, o których mowa w art. 35 ust. 2 rozporządzenia (UE) 2022/2065, wytycznych Komisji, o których mowa w art. 35 ust. 3 tego rozporządzenia, oraz wszelkich innych odpowiednich wytycznych wydanych przez Komisję w odniesieniu do stosowania rozporządzenia (UE) 2022/2065, a także sprawozdań z audytu wydanych na podstawie kodeksów postępowania lub protokołów kryzysowych, o których mowa w art. 45, 46 i 48 tego rozporządzenia;

c) informacji związanych ze zdarzeniami mającymi miejsce podczas przeprowadzania audytu, w tym z sytuacjami kryzysowymi, które to zdarzenia wymagają dodatkowych działań ze strony audytowanego dostawcy, aby zapewnić wypełnianie określonych obowiązków lub zobowiązań będących przedmiotem audytu.

5. Procedury audytu obejmują co najmniej:

a) przeprowadzanie testów i bezpośrednich procedur analitycznych dotyczących kontroli wewnętrznych, które audytowany dostawca wprowadził w odniesieniu do każdego z obowiązków lub zobowiązań będących przedmiotem audytu;

b) przeprowadzanie bezpośrednich procedur analitycznych w celu oceny wypełniania każdego obowiązku i zobowiązania będącego przedmiotem audytu, w tym w odniesieniu do systemów algorytmicznych;

c) przeprowadzanie testów, w tym w odniesieniu do systemów algorytmicznych, dotyczących obowiązków i zobowiązań będących przedmiotem audytu, w związku z którymi organizacja audytowa ma uzasadnione wątpliwości, o których mowa w ust. 4, oraz testów dotyczących obowiązków i zobowiązań będących przedmiotem audytu, w przypadku gdy organizacja audytowa uzna za konieczne przeprowadzenie testów przy wyborze metodyki zgodnie z ust. 1.

6. W przypadku gdy obowiązki lub zobowiązania, o których mowa w art. 37 ust. 1 rozporządzenia (UE) 2022/2065, wymagają od audytowanego dostawcy podania do wiadomości publicznej określonych informacji, metodyki audytu obejmują ocenę, czy podane do wiadomości publicznej informacje są wolne od istotnych błędów lub pominięć, które mogłyby w przeciwnym razie wprowadzać w błąd.