Artykuł 14

1. Ocena przestrzegania art. 35 rozporządzenia (UE) 2022/2065 przez audytowanego dostawcę obejmuje między innymi analizę wszystkich następujących elementów:

a) w jaki sposób audytowany dostawca zidentyfikował środki zmniejszające ryzyko w odniesieniu do każdego ryzyka systemowego, o którym mowa w art. 34 ust. 1 rozporządzenia (UE) 2022/2065, oraz czy identyfikację takich środków zmniejszających ryzyko przeprowadzono z należytą starannością;

b) w jaki sposób audytowany dostawca ocenił, czy środki zmniejszające ryzyko, o których mowa w art. 35 ust. 1 lit. a)–k) rozporządzenia (UE) 2022/2065, miały zastosowanie do usługi będącej przedmiotem audytu oraz czy wnioski z tej oceny były odpowiednie, w tym w odniesieniu do tych środków, których audytowany dostawca nie zastosował;

c) czy środki zmniejszające ryzyko wprowadzone przez audytowanego dostawcę są racjonalne, proporcjonalne i skuteczne w celu zmniejszenia odnośnego ryzyka, w tym poprzez:

(i) ocenę, czy zbiorowo reagują na wszystkie rodzaje ryzyka, ze szczególnym uwzględnieniem ryzyka związanego z korzystaniem z praw podstawowych;

(ii) porównawczą ocenę, w jaki sposób ryzyko zostało uwzględnione przed wprowadzeniem konkretnych środków zmniejszających ryzyko i po ich wprowadzeniu;

(iii) ocenę, czy środki zmniejszające ryzyko zostały odpowiednio zaprojektowane i wdrożone.

2. Bez uszczerbku dla wszelkich innych analiz niezbędnych do osiągnięcia wystarczającego poziomu pewności, metodyki audytu przestrzegania art. 35 rozporządzenia (UE) 2022/2065 obejmują co najmniej ocenę następujących elementów przez organizację audytową:

a) kontroli wewnętrznych wprowadzonych przez audytowanego dostawcę w celu monitorowania stosowania środków zmniejszających ryzyko, o których mowa w art. 35 ust. 1 rozporządzenia (UE) 2022/2065, oraz tego, czy środki te są rozsądne, proporcjonalne i skuteczne; ocena taka:

(i) opiera się na bezpośrednich procedurach analitycznych w odniesieniu do tych kontroli wewnętrznych;

(ii) opiera się na testach, czy te kontrole wewnętrzne są rzetelne oraz starannie opracowane, przeprowadzane i monitorowane;

(iii) obejmuje to, w jaki sposób pracownik lub pracownicy ds. nadzoru przestrzegania rozporządzenia (UE) 2022/2065 wykonali swoje zadania w odniesieniu do art. 41 ust. 3 lit. b), d) i e), a, w stosownych przypadkach, lit. f) rozporządzenia (UE) 2022/2065, oraz w jaki sposób zaangażowany był organ zarządzający dostawcy na podstawie art. 41 ust. 6 i 7 tego rozporządzenia;

b) środków zmniejszających ryzyko wprowadzonych przez audytowanych dostawców; ocena taka opiera się na:

(i) bezpośrednich procedurach analitycznych;

(ii) testach, w tym testach systemów algorytmicznych, w przypadku gdy organizacja audytowa ma uzasadnione wątpliwości w następstwie wyników bezpośrednich procedur analitycznych i oceny kontroli wewnętrznych lub w przypadku gdy organizacja audytowa uzna za konieczne przeprowadzenie testów przy wyborze metodyki zgodnie z art. 10 ust. 1.

3. Informacje analizowane przez organizację audytową na potrzeby oceny przeprowadzonej na podstawie niniejszego artykułu obejmują między innymi:

a) sprawozdania z oceny ryzyka i zmniejszania ryzyka za odpowiedni okres objęty audytem, sporządzone przez audytowanego dostawcę, w tym, w razie potrzeby, informacje poufne, które nie stanowią części informacji publikowanych na podstawie art. 42 ust. 2 rozporządzenia (UE) 2022/2065, oraz wszystkie dokumenty potwierdzające;

b) w stosownych przypadkach inne sprawozdania z oceny ryzyka i zmniejszania ryzyka audytowanego dostawcy oraz dokumenty je potwierdzające;

c) informacje przedłożone przez audytowanego dostawcę zgodnie z art. 5;

d) wszystkie odpowiednie sprawozdania z przejrzystości sporządzone przez audytowanego dostawcę, o których mowa w art. 15 ust. 1 rozporządzenia (UE) 2022/2065;

e) w stosownych przypadkach wcześniejsze sprawozdania ze zmniejszania ryzyka i dokumenty je potwierdzające, które to sprawozdania dotyczą okresów niezaliczających się do okresu objętego audytem, w tym, w razie potrzeby, informacje poufne, które nie stanowią części informacji publikowanych na podstawie art. 42 ust. 2 rozporządzenia (UE) 2022/2065;

f) wszelkie inne wyniki testów, dokumentację, dowody, oświadczenia złożone w odpowiedzi na pytania pisemne lub ustne skierowane przez organizację audytową do personelu audytowanego dostawcy oraz, w stosownych przypadkach, uwagi sformułowane na miejscu;

g) inne istotne dowody, w tym oparte na informacjach udostępnionych przez audytowanego dostawcę;

h) jeżeli są dostępne – sprawozdania, o których mowa w art. 35 ust. 2 rozporządzenia (UE) 2022/2065, i wytyczne wydane przez Komisję, w tym wytyczne wydane na podstawie art. 35 ust. 3 tego rozporządzenia, oraz wszelkie inne odpowiednie wytyczne wydane przez Komisję w odniesieniu do stosowania rozporządzenia (UE) 2022/2065.

4. Informacje analizowane przez organizację audytową mogą obejmować, w stosownych przypadkach, informacje, o których mowa w art. 42 ust. 4 rozporządzenia (UE) 2022/2065, w tym informacje pochodzące ze sprawozdań z audytu, oceny ryzyka i zmniejszania ryzyka, dotyczące innych bardzo dużych platform internetowych lub bardzo dużych wyszukiwarek internetowych, lub dane i badania udostępniane publicznie przez zweryfikowanych badaczy na podstawie art. 40 ust. 8 lit. g) rozporządzenia (UE) 2022/2065.