Artykuł 5

1. W czasie uzgodnionym z organizacją audytową, a w każdym razie przed przeprowadzeniem jakiejkolwiek procedury audytu, audytowany dostawca przekazuje wybranej organizacji audytowej co najmniej następujące informacje:

a) opis kontroli wewnętrznych wprowadzonych w odniesieniu do każdego obowiązku i zobowiązania będącego przedmiotem audytu, w tym powiązane wskaźniki i wszystkie pomiary bieżące i historyczne, a także punkty odniesienia, które audytowany dostawca stosuje w celu potwierdzenia lub monitorowania wypełniania obowiązków i zobowiązań będących przedmiotem audytu, jak również wszelkie dokumenty potwierdzające;

b) wstępną analizę ryzyka nieodłącznego i ryzyka zawodności systemu kontroli wewnętrznej, w przypadku gdy audytowany dostawca przeprowadził taką analizę, oraz wszelkie dokumenty potwierdzające;

c) informacje na temat wszelkich odpowiednich struktur decyzyjnych, kompetencji departamentów dostawcy, w tym komórki nadzoru przestrzegania rozporządzenia (UE) 2022/2065 na podstawie jego art. 41, odpowiednich systemów informatycznych, źródeł danych, przetwarzania i przechowywania, a także wyjaśnienia dotyczące odpowiednich systemów algorytmicznych i ich interakcji.

2. Audytowany dostawca bez zbędnej zwłoki udziela organizacji audytowej dostępu do wszystkich danych niezbędnych do przeprowadzenia audytu, w tym danych osobowych, dokumentacji, informacji na temat procedur i procesów, a także do systemów informatycznych, środowisk testowych, personelu i pomieszczeń tego dostawcy oraz wszelkich odpowiednich podwykonawców.

3. Audytowany dostawca udostępnia wszelkie niezbędne zasoby i zapewnia organizacji audytowej pomoc i wyjaśnienia, które są jej niezbędne do analizy istotnych informacji i przeprowadzenia testów, w tym w przypadku gdy informacje wymagane przez organizację audytową zgodnie z art. 37 ust. 3 rozporządzenia (UE) 2022/2065 znajdują się w posiadaniu osoby trzeciej działającej na zlecenie audytowanego dostawcy.