Artykuł 9

1. Sprawozdanie z audytu zawiera uzasadnioną analizę ryzyka audytu, którą organizacja audytowa przeprowadziła w celu oceny wypełniania przez audytowanego dostawcę każdego obowiązku lub zobowiązania będącego przedmiotem audytu.

2. Analizę ryzyka audytu przeprowadza się przed przeprowadzeniem procedur audytu i aktualizuje się podczas przeprowadzania audytu w świetle wszelkich nowych dowodów audytowych, które zgodnie z osądem zawodowym organizacji audytowej w istotny sposób zmieniają ocenę ryzyka audytu.

3. W analizie ryzyka audytu uwzględnia się:

a) ryzyko nieodłączne;

b) ryzyko zawodności systemu kontroli wewnętrznej;

c) ryzyko niewykrycia.

4. Analizę ryzyka audytu przeprowadza się z uwzględnieniem:

a) charakteru usługi będącej przedmiotem audytu oraz kontekstu społecznego i gospodarczego, w którym świadczona jest ta usługa, w tym prawdopodobieństwa i dotkliwość narażenia na sytuacje kryzysowe i nieoczekiwane zdarzenia;

b) charakteru obowiązków i zobowiązań;

c) innych odpowiednich informacji, w tym:

(i) w stosownych przypadkach informacji z poprzednich audytów, których przedmiotem była dana usługa;

(ii) w stosownych przypadkach informacji ze sprawozdań wydanych przez Europejską Radę ds. Usług Cyfrowych lub informacji zawartych w wytycznych Komisji, w tym w wytycznych wydanych na podstawie art. 35 ust. 2 i 3 rozporządzenia (UE) 2022/2065, oraz wszelkich innych odpowiednich wytycznych wydanych przez Komisję w odniesieniu do stosowania rozporządzenia (UE) 2022/2065;

(iii) w stosownych przypadkach informacji ze sprawozdań z audytu opublikowanych na podstawie art. 42 ust. 4 rozporządzenia (UE) 2022/2065 przez innych dostawców bardzo dużych platform internetowych lub bardzo dużych wyszukiwarek internetowych działających w podobnych warunkach lub świadczących usługi podobne do usługi będącej przedmiotem audytu.