(EU) 2024/436Nařízení Komise v přenesené pravomoci (EU) 2024/436 ze dne 20. října 2023, kterým se doplňuje nařízení Evropského parlamentu a Rady (EU) 2022/2065 stanovením pravidel provádění auditů pro velmi velké online platformy a velmi velké internetové vyhledávače

(1)

Nezávislé audity jsou důležitým nástrojem při dohledu nad tím, zda poskytovatelé velmi velkých online platforem a velmi velkých internetových vyhledávačů dodržují své povinnosti podle nařízení (EU) 2022/2065. Ačkoli jsou v uvedeném nařízení stanoveny další nástroje odpovědnosti, v neposlední řadě prostřednictvím posílené veřejné kontroly zpráv o transparentnosti a dalších požadavků na zveřejňování údajů, mají nezávislé auditorské organizace zvláštní úlohu při včasném posuzování dodržování uvedeného nařízení takovými poskytovateli. Závěry a zjištění takových nezávislých auditů a jejich doporučení mohou být smysluplným zdrojem informací pro regulační dohled. Nezávislé audity zároveň představují jeden z několika zdrojů informací a analýz, které mohou regulační orgány využít v rámci své úlohy v oblasti dohledu a vymáhání povinností.

(2)

Aby se zajistilo, že nezávislé audity budou prováděny účinně, efektivně, včas a srovnatelně ode dne použitelnosti nařízení (EU) 2022/2065, jak je vymezeno v článcích 92 a 93 uvedeného nařízení, měla by Komise stanovit pravidla provádění auditů, zejména pokud jde o právní povinnosti auditovaných poskytovatelů a procesní kroky k zajištění toho, aby organizace provádějící audity splňovaly podmínky nezávislosti, neexistence střetu zájmů, odborných znalostí a profesní etiky stanovené v čl. 37 odst. 3 nařízení (EU) 2022/2065.

(3)

Aby se usnadnilo náležité provádění auditů s vysokou úrovní odborných znalostí a předešlo se nezamýšleným důsledkům na trhu auditorských služeb, mělo by být vyjasněno, že audity prováděné v souladu s článkem 37 nařízení (EU) 2022/2065 může provádět několik auditorů. V případě potřeby, například z důvodu potřeby zvláštních odborných znalostí při auditu určitých povinností nebo závazků, jako jsou povinnosti a závazky týkající se koncepce a fungování algoritmických systémů, pochopení rizik pro základní práva nebo šíření nezákonného obsahu, může auditovaný poskytovatel na provedení auditu najmout různé auditorské organizace nebo konsorcium organizací. Auditorské organizace mohou rovněž najmout subdodavatele, pokud jde o nezbytné odborné znalosti, jestliže jak auditorská organizace, tak subdodavatelé splňují nezbytné podmínky týkající se nezávislosti, neexistence střetu zájmů, prokázané objektivity a profesní etiky a společně splňují podmínky týkající se technických znalostí. I v takových případech by měl auditovaný poskytovatel zajistit, aby bylo dodržování všech povinností a závazků uvedených v čl. 37 odst. 1 nařízení (EU) 2022/2065 auditováno nejméně jednou ročně.

(4)

Výroky auditora uvedené v čl. 37 odst. 4 písm. g) nařízení (EU) 2022/2065 by měly být auditorskými organizacemi vyslovovány s přiměřenou mírou jistoty. Aby bylo dosaženo přiměřené míry jistoty, měla by mít auditorská organizace vysokou, nikoli však absolutní míru důvěry, že se nevyskytly žádné nesprávnosti, jako jsou opomenutí, zkreslení nebo chyby, které nebyly při auditu zjištěny. Aby byla zajištěna uvedená míra jistoty, měla by auditorská organizace mimo jiné získat dostatečné důkazy a při svém posuzování používat vhodné metodiky auditu.

(5)

Podle čl. 37 odst. 1 nařízení (EU) 2022/2065 by nezávislé audity měly být prováděny nejméně jednou ročně v souladu s ročním cyklem posuzování rizik podle článku 34 uvedeného nařízení. V určitých případech však mohou být nutné častější audity. Sled auditů by měl zajistit kontinuální dohled nad dodržováním nařízení (EU) 2022/2065 a příslušných kodexů chování a krizových protokolů auditovanými poskytovateli. Auditovaný poskytovatel by měl zajistit, aby období, za něž daný audit posuzuje dodržování auditovaných povinností a závazků, doplňovalo období, na něž se vztahoval předchozí audit dodržování uvedených povinností a závazků poskytovatelem, a začalo nejpozději tehdy, kdy skončilo období, na něž se vztahoval předchozí audit. Vzhledem k tomu, že závěr auditu zahrnuje jak posouzení provedené auditorskou organizací, tak vypracování zprávy o auditu, měli by auditovaní poskytovatelé zajistit, aby trvání auditu umožňovalo dokončení auditů alespoň jednou ročně a aby se zprávy o auditu předkládaly Komisi a koordinátorovi digitálních služeb bez zbytečného odkladu podle čl. 42 odst. 4 nařízení (EU) 2022/2065.

(6)

Přestože by auditovaní poskytovatelé neměli za žádných okolností zasahovat do provádění auditu a jeho závěrů, měli by plnit své povinnosti podle článku 37 nařízení (EU) 2022/2065, a to i tím, že si s auditorskou organizací dohodnou smluvní podmínky a před výběrem auditorské organizace ověří, že tato organizace splňuje podmínky stanovené v čl. 37 odst. 3 nařízení (EU) 2022/2065.

(7)

Auditovaný poskytovatel by měl například posoudit smlouvy, které dříve uzavřel s auditorskou organizací, nebo smlouvy uzavřené mezi auditorskou organizací a právnickými osobami spojenými s auditovaným poskytovatelem. Auditovaný poskytovatel by měl rovněž do smluv s auditorskými organizacemi zahrnout ustanovení, která zaručí dodržování podmínek stanovených v čl. 37 odst. 3 nařízení (EU) 2022/2065. Skládá-li se auditorská organizace z několika subjektů, měl by se auditovaný poskytovatel ujistit, že uvedené podmínky splňují všechny takové subjekty, v příslušných případech včetně subdodavatelů najatých auditorskou organizací k tomu, aby provádění auditu jakkoli podporovali. Každý subjekt provádějící audit by měl jednotlivě splňovat požadavky na nezávislost a neexistenci střetu zájmů, přičemž společně by uvedené subjekty měly splňovat požadavky týkající se způsobilosti, odborných znalostí nebo technických zdrojů, díky čemuž budou moci různé subjekty provádět různé části auditu a přispívat kapacitami, způsobilostí a odbornými znalostmi potřebnými k provedení auditu. Ve zprávě o auditu by měla být upřesněna odpovědnost každého z uvedených subjektů za příslušné části auditu.

(8)

Podle čl. 37 odst. 3 písm. a) bodu i) nařízení (EU) 2022/2065 by měl auditovaný poskytovatel při ověřování toho, zda auditorská organizace splňuje požadavky na nezávislost a neexistenci střetu zájmů, věnovat zvláštní pozornost tomu, aby auditorská organizace neposkytovala auditovanému poskytovateli neauditorské služby. Auditovaný poskytovatel by měl například posoudit, zda byly poskytnuty služby, jako jsou služby spojené s jakýmkoli systémem, softwarem nebo procesem, které se týkají záležitostí souvisejících s auditovanou povinností nebo závazkem, například poradenské služby pro posuzování výkonnosti, správy a softwaru, služby odborné přípravy, vývoj nebo údržba systémů nebo subdodávky moderování obsahu. Takové služby zahrnují rovněž služby poskytnuté auditovanému poskytovateli, které spočívají v poradenství nebo vývoji vnitřních kontrol nebo v posouzení dodržování nařízení (EU) 2022/2065 nebo kodexů chování a krizových protokolů auditovaným poskytovatelem a které slouží pro vnitřní účely, a to i pokud se omezují na specifické testy, jako jsou testy třetích stran týkající se výkonnosti systémů moderování obsahu. To by nemělo vylučovat auditorské organizace, které provedly povinné finanční audity.

(9)

Vzhledem ke složitosti a zvláštní povaze auditů souladu podle nařízení (EU) 2022/2065 mají pro provádění auditů s přiměřenou mírou jistoty a pro uplatňování odborného úsudku a skepticismu, které auditorské organizaci umožňují například zjistit, jaké informace potřebuje k provedení auditorských postupů nebo k napadení protichůdných informací, zásadní význam odborné znalosti auditorské organizace v dané oblasti. Auditovaný poskytovatel by proto měl ověřit, zda auditorská organizace takové odborné znalosti poskytuje, též v oblasti řízení rizik, a to pokud jde o auditorská rizika i o předmět nařízení (EU) 2022/2065, a zejména pokud jde o systémová společenská rizika uvedená v článku 34 uvedeného nařízení. Auditovaný poskytovatel by měl navíc ověřit technickou způsobilost a kapacity auditorské organizace s ohledem na konkrétní auditovanou službu, včetně odborných znalostí v dané oblasti, například pokud jde o fungování a účinky algoritmických systémů, jako jsou doporučovací systémy a jiné sociálně-technické systémy, které poskytovatel spravuje. Auditorská organizace by měla mít možnost najmout subdodavatele nebo jinak získat a nasadit nezbytné odborné znalosti a kapacity a auditovaný poskytovatel by měl ověřit a ujistit se, že auditorská organizace je schopna uvedené odborné znalosti a kapacity nabýt včas pro provedení auditu.

(10)

Při ověřování, zda auditorské organizace splňují podmínky stanovené v čl. 37 odst. 3 nařízení (EU) 2022/2065, by měl auditovaný poskytovatel posoudit příslušné důkazy, v příslušných případech včetně osvědčení, prohlášení a zpráv o auditu vydaných auditorskou organizací. Příslušné odborné znalosti by mohly být prokázány například praktickými zkušenostmi s posuzováním a řízením rizik, jakož i akademickou činností, vědeckými publikacemi a zkušenostmi s příslušnými audity. Součástí zpráv o auditu by měla být veškerá příslušná podpůrná dokumentace potvrzující, že auditorská organizace splňuje nezbytné podmínky.

(11)

Podle čl. 37 odst. 2 nařízení (EU) 2022/2065 spolupracuje auditovaný poskytovatel s auditorskou organizací a poskytuje jí veškerou pomoc nezbytnou k tomu, aby mohla audit provádět účinně, efektivně a včas, a rovněž se zdrží jakéhokoli zasahování do nezávislých rozhodnutí auditorské organizace. Auditovaný poskytovatel by například neměl ukládat auditorské organizaci jakákoli smluvní nebo jiná omezení nebo pobídky při výběru a provádění auditorských postupů, metodik, shromažďování a zpracování informací a důkazních informací, analýz, testů, výroku auditora nebo vypracování závěrů auditu, poskytovat jí jakékoli pokyny nebo ji prostřednictvím takových omezení nebo pobídek jakkoli jinak ovlivňovat.

(12)

Aby byla během auditu zaručena nezbytná spolupráce a pomoc, měl by auditovaný poskytovatel zajistit, aby auditorská organizace měla přístup ke všem informacím nezbytným pro provedení auditu. Auditovaný poskytovatel by měl zaslat co nejdříve a v každém případě předtím, než auditorská organizace zahájí provádění auditorských postupů, všechny nezbytné dokumenty a vysvětlení. Například podle čl. 41 odst. 3 písm. d) a e) nařízení (EU) 2022/2065 má útvar zajišťování souladu auditovaného poskytovatele monitorovat plnění všech auditovaných povinností a závazků, což by mělo vést k vypracování vnitřních kontrol. Auditorské organizaci by proto měl být umožněn přístup ke všem informacím souvisejícím s těmito kontrolami a k veškerým dalším informacím, které nastiňují strategii auditovaného poskytovatele k zajištění souladu. Auditovaný poskytovatel by měl zejména auditorské organizaci zpřístupnit referenční hodnoty, o něž se opírá, aby zajistil soulad s nařízením (EU) 2022/2065, aby auditní organizace mohla na těchto informacích založit auditní kritéria.. Kromě toho by auditorské organizaci měl být umožněn přístup ke všem analýzám, které auditovaný poskytovatel případně provedl ohledně přirozených rizik a kontrolních rizik. Takový poskytovatel by měl auditorské organizaci zpřístupnit informace, které usnadňují pochopení auditované služby útvaru, jejího řízení, kompetencí příslušných týmů a rozhodovacích struktur, včetně její funkce zajišťování shody, a seznámit ji se svými systémy informačních technologií, strukturami pro údaje a záznamy a se vzájemnou interakcí různých algoritmických systémů, které jsou pro audit relevantní.

(13)

Auditorská organizace by měla mít možnost si kdykoli při provádění auditu vyžádat jakékoli další nezbytné informace. Přístup k uvedeným informacím by měl být poskytnut bez zbytečného odkladu způsobem, který nijak nebrání provádění auditu. To by mělo v příslušných případech zahrnovat přístup k údajům, včetně osobních údajů, získaným z různých zdrojů, jako jsou dokumenty, algoritmické systémy, databáze nebo rozhovory. Auditovaný poskytovatel by měl auditorské organizaci rovněž poskytnout přístup k postupům a procesům, IT systémům, jako jsou algoritmické a informační systémy, včetně testovacích prostředí. Aby auditorská organizace mohla takové systémy smysluplně kontrolovat, měl by auditovaný poskytovatel dát k dispozici veškeré nezbytné zdroje, které uvedené organizaci pomohou při přístupu k takovým systémům a jejich posuzování, například tím, že poskytne své kompetentní zaměstnance, kteří budou odpovídat na otázky nebo ovládat testovací prostředí a poskytovat vysvětlení ohledně jejich fungování, nebo usnadnit jakýkoli jiný nezbytný přístup k zaměstnancům a do prostor, jako jsou budovy. Přístup k postupům a procesům by mohl zahrnovat například přístup k popisům nebo dokumentům týkajícím se interního rozhodovacího procesu auditovaného poskytovatele. Přístup k relevantním informacím může rovněž vyžadovat, aby auditovaný poskytovatel přijal další doplňková opatření, aby splnil svou povinnost spolupráce a pomoci. Může být například nutné, aby auditovaný poskytovatel zajistil bezpečné prostory pro rozhovory se zaměstnanci. Je-li to nezbytné pro provedení auditu, měli by auditovaní poskytovatelé plnit povinnost spolupráce a pomoci ve vztahu k auditorské organizaci mimo jiné usnadněním přístupu k příslušným údajům týkajícím se jejich činností, které mají k dispozici jejich externí dodavatelé. Tak tomu může být například v případě výsledků moderování obsahu, školicích materiálů nebo pokynů používaných externími dodavateli, kteří moderují obsah, nebo prodejci a poskytovateli služeb pro IT řešení, například algoritmů a aplikací používaných v doporučovacích systémech nebo reklamních systémech používaných auditovaným poskytovatelem.

(14)

Aby se snáze dosáhlo smysluplné transparentnosti auditních zjištění a stanovil komplexní a porovnatelný formát zpráv o auditu uvedených v čl. 37 odst. 4 nařízení (EU) 2022/2065 a zpráv o provedení doporučení auditu uvedených v čl. 37 odst. 6 uvedeného nařízení, mělo by toto nařízení pro uvedené zprávy stanovit šablony a u každé ze zpráv stanovit požadavky na několik příloh. Ačkoli šablony stanovené v tomto nařízení vyžadují komplexní podávání zpráv, neměly by ovlivnit požadavky na zveřejňování zpráv stanovené v čl. 42 odst. 4 a 5 nařízení (EU) 2022/2065.

(15)

Aby se zajistilo, že auditorská organizace obdrží od auditovaného poskytovatele veškerou nezbytnou pomoc, aniž by tento poskytovatel zasahoval do provádění auditu, a že auditorská organizace splní všechny podmínky pro přípravu auditu a vydá zprávu o auditu včas a v kvalitě nezbytné k dosažení přiměřené míry jistoty, měla by některá pravidla upřesnit postupy pro přípravu auditu. Povinnosti a odpovědnosti auditovaného poskytovatele a auditorské organizace, včetně všech subdodavatelů nebo partnerských organizací a zaměstnanců odpovědných za provádění auditu, by měly být stanoveny v písemné dohodě, a to i prostřednictvím smluvních podmínek. V písemné dohodě by měly být rovněž upřesněny auditované povinnosti a závazky, přidělení zdrojů a pravidla interakce mezi auditorskou organizací a auditovaným poskytovatelem a jejich kontaktní místa. Ke zprávě o auditu by měla být přiložena veškerá podpůrná dokumentace a smlouvy, včetně případů, kdy mají dokumenty podobu smluvního dopisu k auditu nebo jiných smluvních ujednání.

(16)

Za účelem poskytnutí komplexního přehledu a snazšího vyvozování odpovědnosti auditovaných poskytovatelů by součástí zprávy o auditu měl být závěr z posouzení auditorské organizace ohledně dodržování každé auditované povinnosti nebo závazku auditovaným poskytovatelem. Každý závěr auditu by měl být založen na přiměřené míře jistoty a měl by být buď „kladný“, nebo „kladný s připomínkami“, nebo „záporný“, aby byl výrok auditora založen na náležitých informacích. Závěry, které jsou „pozitivní s připomínkami“, by se neměly týkat samotného posouzení souladu. Připomínky by se mohly týkat například předkládání informací poskytovatelem na žádost auditorské organizace nebo zlepšení údržby či kontrol zavedených auditovaným poskytovatelem nebo by se mohly týkat opatření, která poskytovatel hodlá přijmout za účelem zvýšení souladu nebo snížení rizik. V každém případě, pokud má auditorská organizace za to, že auditovaný poskytovatel plní auditovanou povinnost nebo závazek podle referenčních hodnot oznámených auditovaným poskytovatelem, ale považuje za nezbytné zahrnout připomínky k těmto referenčním hodnotám, měl by být závěr auditu „pozitivní s připomínkami“, neboť tyto připomínky by mohly poskytovatele užitečným způsobem informovat o vhodnosti možných změn jeho referenčních hodnot na základě poznatků a odborných znalostí auditní organizace i na základě informací z externích zdrojů. Připomínky by mohly vycházet například z pokynů Komise, a to i z pokynů Komise uvedených v čl. 35 odst. 3 nařízení (EU) 2022/2065 a veškerých dalších příslušných pokynů vydaných Komisí v souvislosti s uplatňováním daného nařízení, dále ze zpráv Evropského sboru pro digitální služby uvedených v čl. 35 odst. 2 daného nařízení, donucovacích opatření, rozhodnutí přijatých Komisí podle daného nařízení, příslušné judikatury, zejména judikatury Soudního dvora Evropské unie, veřejných konzultací nebo příslušných směrodatných zdrojů.

(17)

K umožnění veřejné kontroly a regulačního dohledu v případě, že je závěr auditu „záporný“, ale vztahuje se pouze na omezené období a auditorská organizace má za to, že auditovaný poskytovatel dodržoval povinnost nebo závazek po zbytek auditovaného období, by se toto mělo odrazit ve zprávě o auditu pro každou dotčenou povinnost nebo závazek. Zpráva by měla obsahovat připomínky auditorské organizace ke všem informacím, které jí auditovaný poskytovatel poskytl, pokud jde o zavedené nebo připravované plány na snížení nesouladu.

(18)

S ohledem na odlišnou povahu právních povinností stanovených v kapitole III nařízení (EU) 2022/2065 a dobrovolných závazků přijatých na základě kodexů chování a krizových protokolů podle článků 45, 46 a 48 uvedeného nařízení by auditorská organizace měla vydat výroky auditora o dodržování uvedené kapitoly a jednotlivých kodexů a protokolů.

(19)

Za účelem provedení auditu s přiměřenou mírou jistoty a koncipování vhodných auditorských postupů podle metodik, které minimalizují auditorské riziko na nízkou míru, by klíčovou součástí metodiky pro provádění auditu měl být odhad auditorských rizik, konkrétně rizika, že auditorská organizace vydá nevhodný výrok auditora nebo závěr auditu. Auditorská organizace by proto měla posoudit auditorské riziko na samém začátku auditu před tím, než koncipuje přesnou metodiku a provede auditorské postupy. Analýza auditorských rizik je nezbytná k tomu, aby auditorská organizace mohla zvolit přesné metodiky auditu a určit, jak komplexní musí být auditorské postupy, aby bylo dosaženo přiměřené míry jistoty pro výrok auditora. Auditorská organizace by měla provést analýzu auditorských rizik za účelem posouzení dodržování každé auditované povinnosti nebo závazku a přihlédnout přitom k přirozeným rizikům, kontrolním rizikům a zjišťovacím rizikům.

(20)

Za účelem správného vyhodnocení auditorských rizik by analýza auditorských rizik měla zohlednit povahu auditované služby, především její rizikový profil, a rozsah a složitost auditu. Je například pravděpodobné, že online platformy umožňující uzavírat smlouvy na dálku mezi spotřebiteli budou mít jiná přirozená rizika než platformy pro sdílení videonahrávek nebo vyhledávače. Dále by se měl zvážit společenský a hospodářský kontext, v němž je auditovaná služba poskytována, například pokud jde o typické skupiny uživatelů, jako jsou nezletilé osoby, nebo časté chování, jako je vysoký výskyt neautentického používání a koordinovaného chování v dezinformačních kampaních. Společenský a hospodářský kontext, který je třeba zvážit, by měl rovněž zahrnovat pravděpodobnost a, samostatně, závažnost vystavení krizovým situacím a neočekávaným událostem podle nařízení (EU) 2022/2065.

(21)

Aby se zajistilo, že analýza auditorských rizik odráží vývoj rizik, kterým služba podléhá, měla by být analýza auditorských rizik v příslušných případech založena rovněž na informacích z předchozích auditů, které byly u auditovaného poskytovatele případně provedeny, a vycházet z informací ze zdrojů, jako jsou zprávy o auditu jiných poskytovatelů s obdobným rizikovým profilem. Aby se zajistilo, že analýza auditorských rizik bude plně zohledňovat nejnovější důkazy o rizicích v kontextech obdobných tomu, v němž působí auditovaný poskytovatel, a hodnověrné zdroje, které mají přímý význam pro uplatňování nařízení (EU) 2022/2065, měla by se analýza v příslušných případech rovněž opírat o informace ze zpráv vydaných Evropským sborem pro digitální služby nebo o pokyny Komise. Další informace by rovněž mohly zahrnovat informace ze zpráv o auditu zveřejněných podle čl. 42 odst. 4 nařízení (EU) 2022/2065 jinými poskytovateli velmi velkých online platforem nebo velmi velkých internetových vyhledávačů.

(22)

Auditorská organizace by měla, aniž by přitom byla ovlivněna auditovaným poskytovatelem, vypracovat metodiky auditu používané k posouzení dodržování auditovaných povinností a závazků. Auditní kritéria by měla být založena na informacích, které auditovaný poskytoval předložil ohledně referenčních hodnot, které používá k monitorování souladu. Metodika může rovněž zohlednit další informace, které auditovaný poskytovatel poskytl, například analýzu přirozených rizik, pokud auditovaný poskytovatel takovou analýzu provedl, například prostřednictvím opatření vypracovaných osobou pověřenou zajišťováním souladu nebo řídicím orgánem v souladu s článkem 41 nařízení (EU) 2022/2065 nebo jiných opatření začleněných do fungování služby pro účely posuzování systémových rizik podle článku 34 uvedeného nařízení.

(23)

Aby se zajistilo, že jsou metodiky auditu vhodné pro dosažení přiměřené míry jistoty, pokud jde o výroky auditora, měl by se výběr metodiky pro auditorské postupy zabývat zvláštnostmi auditované povinnosti nebo závazku a měl by být přizpůsoben například povaze auditované povinnosti jakožto povinnosti použít určité prostředky nebo povinnosti stanovující určité výsledky, kterých musí poskytovatel dosáhnout, aby dodržoval soulad. Auditorské postupy pro posuzování dodržování informační povinnosti v souvislosti s transparentností podle článku 15 nařízení (EU) 2022/2065 by například mohly auditorské organizaci umožnit dospět k závěru, zda byly zprávy zveřejněny ve lhůtách a formátech požadovaných v uvedeném nařízení, jakož i k závěru, zda byly zprávy úplné a oznámené údaje přesné, reprezentativní a náležitě rozdělené, např. podle kategorie nezákonného obsahu, u nichž byla zavedena opatření.

(24)

Výběr metodiky by měl rovněž záviset na tom, zda posouzení souladu vyžaduje kontextuální výklad ze strany auditorské organizace. Výběr metodik by měl být rovněž přizpůsoben přirozeným rizikům spojeným s činnostmi prováděnými při poskytování služby a kontextem, v němž je služba poskytována, například zda služba zahrnuje prodej zboží, které by mohlo být nelegální, nebo zda službu využívají především nezletilé osoby. Například metodiky pro posuzování dodržování povinností zavést vhodná a přiměřená opatření, kterými se zajistí vysoká míra soukromí, bezpečnosti a ochrany nezletilých osob podle čl. 28 odst. 1 nařízení (EU) 2022/2065, by měly auditorské organizaci umožnit, aby dostatečně porozuměla tomu, jak je auditovaná služba využívána nezletilými osobami a jaká rizika pro jejich soukromí, bezpečnost a ochranu mohou vzniknout, jakož i tomu, co představuje vhodné a přiměřené opatření ve specifickém kontextu auditované služby a jejího využívání nezletilými osobami. Auditorské organizace by proto měly své posouzení rozdělit do vhodných kroků. Měly by auditní rizika posoudit podle rizikového profilu auditovaného poskytovatele, přičemž by se měly zaměřit zejména na to, zda ke službám poskytovatele mají přístup nezletilé osoby nebo zda jsou využívány především takovými osobami. Měly by posoudit například to, zda poskytovatel zavedl nástroje pro ověřování věku, zda jsou tyto nástroje účinné a jakým způsobem auditovaný poskytovatel jejich účinnost vyhodnocuje a sleduje. Měly by posoudit, zda auditovaný poskytovatel zavedl vhodná opatření k odhalování sporného využívání svých služeb a vzorců chování, jejichž cílem je poškodit nezletilé osoby nebo které by k takovému poškození mohly vést.

(25)

Kromě toho by měl být výběr metodik přizpůsoben kontrolním rizikům spojeným s opatřeními k zajištění souladu zavedenými auditovaným poskytovatelem, jakož i zjišťovacím rizikům, konkrétně riziku nezjištění nesprávností v informacích, které poskytovatel auditorské organizaci zpřístupňuje. Pokud by například auditovaná povinnost mohla zahrnovat audit algoritmického systému založeného na individualizaci pro jednotlivé příjemce auditované služby a na opakovaných aktualizacích algoritmického systému, jako jsou povinnosti zpřístupnění informací u doporučovacích systémů podle článku 27 nařízení (EU) 2022/2065, měl by výběr metodiky auditorské organizaci umožnit koncipovat vhodné testy, aby se minimalizovalo zjišťovací rizika. Podobně pokud se auditorská organizace snaží posoudit, zda byla všechna relevantní rizika zmírněna při navrhování, fungování a používání aplikací založených na rozsáhlých jazykových modelech, jako jsou funkce chatu nebo doporučovací systémy zavedené auditovaným poskytovatelem, měla by auditorská organizace nejprve posoudit vhodnost kontrol zavedených poskytovatelem. Výběr testů by měl vycházet ze spolehlivosti těchto vnitřních kontrol. Zejména v případech, kdy jsou vnitřní kontroly nedostatečné, neúplné nebo nejednoznačné k posouzení, zda jsou pravidla při zohlednění souboru příjemců auditované služby dodržována, by se auditorské postupy měly opírat o kombinaci metodik. Metodiky by například mohly zahrnovat analytické postupy zaměřené na věcnou správnost, jako je analýza interakcí mezi všemi algoritmickými systémy zapojenými do doporučovacích systémů a souvisejících pravidel rozhodování a postupů pro stanovení hlavních parametrů uvedených doporučovacích systémů, pozorování digitálních záznamů a protokolů. Metodiky by měly rovněž zahrnovat testy systému, například testy v simulovaných prostředích.

(26)

Aby se zajistilo, že je metodika relevantní a přizpůsobená novým zjištěním v průběhu auditu, měl by se výběr metodik řídit odborným úsudkem auditorské organizace a měl by být upraven tak, aby na uvedená nová zjištění reagoval, zejména pokud má auditorská organizace důvodné pochybnosti o informacích předložených auditovaným poskytovatelem. Profesní skepticismus auditorské organizace by měl být založen na jejích odborných znalostech, jakož i na dalších zdrojích informací, které mají pro uplatňování nařízení (EU) 2022/2065 zvláštní význam, jako jsou zprávy Evropského sboru pro digitální služby, pokyny Komise, zprávy o auditu vycházející z kodexů chování nebo krizových protokolů uvedených v článcích 45, 46 a 48 uvedeného nařízení, nebo na informacích, které se objeví během provádění auditu, a to i v případech, kdy se týkají událostí, zejména krizových situací, které vyžadují dodatečná opatření ze strany auditovaného poskytovatele, aby se zajistilo dodržování některých auditovaných povinností nebo závazků.

(27)

Aby se zajistilo, že v průběhu auditu budou shromážděny dostatečné důkazní informace, měly by auditorské organizace posoudit jak vnitřní kontroly auditovaného poskytovatele, tak i provést auditorské postupy zaměřené na věcnou správnost pro posouzení toho, zda auditovaný poskytovatel dodržuje soulad. V některých případech by auditorská organizace měla rovněž provést testy.

(28)

Vzhledem ke složitosti algoritmických systémů používaných poskytovateli online platforem a jejich důležité úloze při dodržování několika povinností stanovených v nařízení (EU) 2022/2065 by měla být zvláštní pozornost věnována nezbytným a vhodným metodickým volbám, pokud jde o audit algoritmických systémů. To platí jak v případě, kdy jsou algoritmické systémy součástí kontrol zavedených auditovaným poskytovatelem, tak v případě, kdy jsou samy předmětem auditovaných povinností nebo závazků, kupříkladu pokud jde o doporučovací systémy, například podle článků 27, 34, 35 a 38 nařízení (EU) 2022/2065, nebo o reklamní systémy, například podle článků 26, 28, 34, 35 a 39 uvedeného nařízení, o systémy moderování obsahu, například podle článků 14, 15, 34 a 35 uvedeného nařízení, nebo o jakýkoli jiný algoritmický systém, který přispívá k rizikům uvedeným v článku 34 uvedeného nařízení.

(29)

Rovněž by měla být použita kombinace analytických postupů zaměřených na věcnou správnost, v příslušných případech včetně postupů založených na pozorování procesů a činností auditovaného poskytovatele při koncipování, vývoji, provozování, testování a monitorování algoritmických systémů nebo pozorování digitálních záznamů a protokolů vytvářených uvedenými systémy. Metodiky by měly být přizpůsobeny zvláštnostem algoritmických systémů, včetně jejich řízení, interakce mezi různými algoritmickými systémy, jakož i souvisejícími systémy pro správu údajů, a technologiím, na nichž jsou uvedené algoritmické systémy založeny, jako jsou generativní modely nebo jiné klasifikátory a výběrové nebo vyhledávací algoritmy.

(30)

Metodiky auditu pro algoritmické systémy by dále měly zahrnovat testy, například za účelem shromáždění informací, které auditovaný poskytovatel dosud nezdokumentoval, nebo za účelem nezávislého reprodukování a posouzení výsledků, ukazatelů přesnosti, testy v izolovaných nebo simulovaných prostředích nebo testy v produkčních systémech, a to i prostřednictvím získávání údajů metodou „data scraping“ nebo kontradiktorního testování.

(31)

Vzhledem k tomu, že vysoká kvalita důkazních informací je nezbytnou podmínkou pro to, aby auditorská organizace vypracovala výrok auditora s přiměřenou mírou jistoty, měly by být informace, které se auditorská organizace rozhodne použít jako důkazní informace, vhodné a dostatečné ke snížení auditorských rizik. Důkazní informace by navíc měly být spolehlivé v souladu s odborným úsudkem a skepticismem auditorské organizace a v příslušných případech i s ohledem na alternativní zdroje informací. Odborný úsudek a skepticismus by měly zahrnovat kritické posouzení důkazních informací a případných nesprávností. Uvedené standardy kvality by se měly vztahovat na veškeré důkazní informace bez ohledu na to, zda byly poskytnuty auditovaným poskytovatelem nebo shromážděny z jiných zdrojů.

(32)

Auditorská organizace by měla zvážit řadu zdrojů informací, které by mohly zahrnovat například rozhovory se zaměstnanci nebo dodavateli auditovaného poskytovatele, včetně osob pověřených zajišťováním souladu, inženýrů, datových vědců, softwarových architektů nebo členů týmů interního auditu. Mohly by rovněž zahrnovat technickou dokumentaci týkající se koncipování, provádění, testování a monitorování příslušného systému, včetně kvality a správy údajů a aktualizací a verzí systému, a další dokumenty týkající se řízení a rozhodovacích procesů auditovaného poskytovatele, též s ohledem na priority, zdroje, rozdělení úkolů a odpovědností nebo odborné znalosti příslušných zaměstnanců.

(33)

Za účelem zajištění účinnosti a proporcionality při provádění auditu by mělo být auditorské organizaci umožněno vybírat vzorky údajů a informací s náležitým ohledem na dosažení reprezentativního vzorku, aby auditorská organizace mohla dospět k výroku auditora s přiměřenou mírou jistoty. Aby byla zajištěna transparentnost a reprodukovatelnost auditorských postupů, měla by auditorská organizace ve zprávě o auditu odůvodnit volby velikosti vzorku a metody výběru vzorku. Například velikost vzorku a metodika by měly být zvoleny s ohledem na to, jak lze účinně naplnit účel auditu konkrétní auditované povinnosti nebo závazku, a s cílem minimalizovat riziko, že se závěr auditu konkrétního vzorku bude lišit od závěru v případě, že by byl auditorskému postupu podroben celý soubor důkazů. Velikost a metodika výběru vzorku by měly být zvoleny s ohledem na plný rozsah auditu, jakož i na interní nebo externí změny auditované služby během této doby. Měly by být rovněž přizpůsobeny specifickým vlastnostem algoritmických systémů, včetně individualizace pomocí profilování. V rámci těchto úvah by auditorská organizace měla například vhodně odebrat vzorek z různých kohort nebo partií, které mohou vyplývat z individualizačních technik, nebo určit odchylku a odůvodnit, proč je na přijatelné úrovni.

(34)

Vzhledem k novosti některých ustanovení nařízení (EU) 2022/2065 je nutné stanovit metodické zásady, včetně otázek auditu a dalších směrů pro výběr metodik auditu a důkazních informací pro posuzování dodržování uvedených ustanovení, zejména pro posuzování dodržování článků 34, 35 a 36 nařízení (EU) 2022/2065 o provádění posouzení rizik a přijímání opatření ke zmírnění rizik auditovanými poskytovateli a o uplatňování povinností týkajících se reakce na krize.

(35)

Vzhledem k tomu, že by auditorské organizace měly rovněž posuzovat dodržování článku 37 nařízení (EU) 2022/2065 auditovaným poskytovatelem, měly by být rovněž uvedeny další specifikace přesného auditu, s ohledem na něž by mělo být dodržování posuzováno, zejména aby se předešlo jakémukoli střetu zájmů auditorské organizace.

(36)

Vzhledem k dobrovolné povaze kodexů chování a krizových protokolů je nezbytné stanovit zvláštní pravidla pro audit dodržování článků 45, 46 a 48 nařízení (EU) 2022/2065, zejména zajistit, aby auditorské organizace měly k dispozici veškeré informace nezbytné k provádění auditů specifických pro závazky v rámci jednotlivých kodexů chování a krizových protokolů,