Reglamento Delegado (UE) 2024/436 de la Comisión, de 20 de octubre de 2023, por el que se completa el Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo estableciendo las normas relativas a la realización de auditorías de las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño

• Expandir / Contraer índice sistemático
• INTRODUCCION
• SECCIÓN I. Disposiciones generales
  • Artículo 1 Objeto
  • Artículo 2 Definiciones
  • Artículo 3 Alcance de la auditoría y grado de seguridad razonable
• SECCIÓN II. Condiciones aplicables a la realización de la auditoría
  • Artículo 4 Elección de la entidad auditora
  • Artículo 5 Cooperación y asistencia entre el prestador auditado y la entidad auditora
• SECCIÓN III. Realización de las auditorías
  • Artículo 6 Informe de auditoría e informe de aplicación de la auditoría
  • Artículo 7 Procedimientos de preparación de la auditoría
  • Artículo 8 Dictamen de auditoría, conclusiones de auditoría y recomendaciones
• SECCIÓN IV. Metodologías de auditoría
  • Artículo 9 Análisis de los riesgos de auditoría
  • Artículo 10 Metodologías de auditoría adecuadas
  • Artículo 11 Calidad de la evidencia de auditoría
  • Artículo 12 Métodos de muestreo
  • Artículo 13 Metodologías específicas para la auditoría del cumplimiento del artículo 34, sobre la evaluación de riesgos, del Reglamento (UE) 2022/2065
  • Artículo 14 Metodologías específicas para la auditoría del cumplimiento del artículo 35, sobre la reducción de riesgos, del Reglamento (UE) 2022/2065
  • Artículo 15 Metodologías específicas para la auditoría del cumplimiento del artículo 36, sobre el mecanismo de respuesta a las crisis, del Reglamento (UE) 2022/2065
  • Artículo 16 Auditoría del cumplimiento del artículo 37, sobre la auditoría independiente, del Reglamento (UE) 2022/2065
  • Artículo 17 Auditoría del cumplimiento de los códigos de conducta y protocolos de crisis
• SECCIÓN V. Disposiciones finales
  • Artículo 18 Entrada en vigor
• ANEXO I
• ANEXO II

Artículo 1 Objeto

El presente Reglamento establece las normas aplicables a la realización de las auditorías contempladas en el artículo 37 del Reglamento (UE) 2022/2065, en lo relativo a:

• a) las fases procedimentales para asegurar que la entidad auditora que se elija reúna las condiciones del artículo 37, apartado 3, del Reglamento (UE) 2022/2065;
• b) las fases procedimentales a efectos de la cooperación y asistencia por parte del prestador auditado en la realización de las auditorías, incluido el acceso a la información pertinente con la finalidad de obtener evidencia de auditoría;
• c) la definición y selección de las metodologías de auditoría;
• d) los modelos de informe de auditoría e informe de aplicación de la auditoría.

Artículo 2 Definiciones

A efectos del presente Reglamento, se entenderá por:

• 1) «entidad auditora»: una entidad individual, o un consorcio u otra agrupación de entidades, y, en su caso, sus subcontratistas, contratada por el prestador auditado para la realización de una auditoría independiente de conformidad con el artículo 37 del Reglamento (UE) 2022/2065;
• 2) «servicio auditado»: una plataforma en línea de muy gran tamaño o un motor de búsqueda en línea de muy gran tamaño, designados como tales de conformidad con el artículo 33 del Reglamento (UE) 2022/2065;
• 3) «prestador auditado»: el prestador de un servicio auditado sujeto a auditorías independientes en virtud del artículo 37, apartado 1, del citado Reglamento;
• 4) «obligación o compromiso objeto de auditoría»: una obligación o un compromiso a que se refiere el artículo 37, apartado 1, del Reglamento (UE) 2022/2065 que constituya el objeto de la auditoría;
• 5) «criterios de auditoría»: los criterios empleados por la entidad auditora para evaluar el cumplimiento de cada obligación o compromiso objeto de auditoría;
• 6) «evidencia de auditoría»: toda aquella información empleada por una entidad auditora para sustentar sus observaciones y conclusiones de auditoría y emitir un dictamen de auditoría, incluidos los datos procedentes de documentos, bases de datos o sistemas informáticos, entrevistas o la realización de pruebas;
• 7) «incorrección»: toda omisión, distorsión o error, ya sea deliberado o no, en las declaraciones o en los datos comunicados o suministrados a la entidad auditora por parte del prestador auditado, o en el entorno de pruebas puesto a disposición de la entidad auditora por parte del prestador auditado;
• 8) «riesgo de auditoría»: el riesgo de que la entidad auditora emita un dictamen de auditoría incorrecto o extraiga una conclusión incorrecta sobre el cumplimiento de una obligación o un compromiso objeto de auditoría por parte del prestador auditado, atendiendo a los riesgos de detección, riesgos inherentes y riesgos de control relacionados con dicha obligación o dicho compromiso objeto de auditoría;
• 9) «riesgo de detección»: el riesgo de que la entidad auditora no detecte una incorrección que tenga pertinencia a efectos de la evaluación del cumplimiento de una obligación o de un compromiso objeto de auditoría por parte del prestador auditado;
• 10) «riesgo inherente»: el riesgo de incumplimiento intrínsecamente vinculado a la naturaleza, el diseño, la actividad y el uso del servicio auditado, así como al contexto en el que se desarrolla, y el riesgo de incumplimiento vinculado a la naturaleza de la obligación o compromiso objeto de auditoría;
• 11) «riesgo de control»: el riesgo de que una incorrección no sea prevenida, detectada y corregida oportunamente por los controles internos del prestador auditado;
• 12) «umbral de importancia relativa»: el umbral a partir del cual las desviaciones o incorrecciones del prestador auditado, consideradas de forma individual o de forma agregada, afectarían razonablemente a las observaciones, conclusiones y dictámenes de la auditoría;
• 13) «grado de seguridad razonable»: un grado de seguridad alto, aunque no absoluto, que permite a la entidad auditora determinar en su dictamen de auditoría y en sus conclusiones de auditoría si el prestador auditado cumple o no las obligaciones o compromisos objeto de auditoría, sobre la base de una evidencia suficiente y adecuada;
• 14) «control interno»: todas aquellas actuaciones, incluidos los procesos y las pruebas, diseñadas, implementadas y mantenidas por el prestador auditado, en particular, por sus encargados del cumplimiento y su órgano de dirección, para el seguimiento y la garantía de su cumplimiento de la obligación o del compromiso objeto de auditoría;
• 15) «investigador autorizado»: un investigador autorizado según lo establecido en el artículo 40, apartado 8, del Reglamento (UE) 2022/2065;
• 16) «procedimiento de auditoría»: toda técnica aplicada por la entidad auditora al llevar a cabo la auditoría, entre otras, la obtención de datos, la selección y aplicación de metodologías, tales como pruebas y procedimientos analíticos sustantivos, y cualquier otra actuación realizada al objeto de recopilar y analizar información con la finalidad de obtener evidencia de auditoría y formular conclusiones de auditoría, excluida la emisión de dictámenes e informes de auditoría;
• 17) «prueba»: una metodología de auditoría que consiste en mediciones, experimentos u otras verificaciones, incluidas las de sistemas algorítmicos, empleada por la entidad auditora para evaluar el cumplimiento de la obligación o compromiso objeto de auditoría por parte del prestador auditado;
• 18) «procedimiento analítico sustantivo»: una metodología de auditoría utilizada por la entidad auditora para evaluar la información al objeto de inferir los riesgos de auditoría o el cumplimiento de la obligación o compromiso objeto de auditoría.

Artículo 3 Alcance de la auditoría y grado de seguridad razonable

1. La forma y la duración de la auditoría serán las adecuadas para permitir a la entidad auditora evaluar el cumplimiento por parte del prestador auditado de todas las obligaciones y compromisos objeto de auditoría con un grado de seguridad razonable.

2. La auditoría cubrirá un período que comience inmediatamente después del cierre del período de la auditoría anterior y finalice en una fecha que permita a la entidad auditora realizarla en el plazo exigido por el artículo 37, apartado 1, del Reglamento (UE) 2022/2065, lo que implica llevar a cabo su evaluación conforme a lo dispuesto en dicho apartado sobre la base de la información obtenida y de los procedimientos de auditoría llevados a cabo durante dicho período, así como completar el informe de auditoría y remitirlo al prestador auditado con arreglo al artículo 37, apartado 4, de dicho Reglamento.

3. Cuando no se haya realizado ninguna auditoría con anterioridad, el período cubierto por la auditoría comenzará transcurridos cuatro meses a contar desde la notificación contemplada en artículo 33, apartado 6, párrafo primero, del Reglamento (UE) 2022/2065, y su duración permitirá finalizar el informe de auditoría de conformidad con el artículo 6, apartado 1, del presente acto delegado en un plazo máximo de un año a partir del inicio del período auditado.

Artículo 4 Elección de la entidad auditora

1. De forma previa a la elección de una entidad auditora para la realización de la auditoría, el prestador auditado comprobará si la entidad que vaya a elegir reúne los requisitos establecidos en el artículo 37, apartado 3, del Reglamento (UE) 2022/2065.

2. Cuando la entidad auditora que se vaya a elegir esté integrada por más de una persona jurídica o tenga la intención de recurrir a uno o varios subcontratistas, el prestador auditado verificará que todas las personas jurídicas o todos los subcontratistas:

• a) cumplen de forma individual los requisitos contemplados en el artículo 37, apartado 3, letras a) y c), del Reglamento (UE) 2022/2065;
• b) cumplen de forma conjunta el requisito contemplado en el artículo 37, apartado 3, letra b), del Reglamento (UE) 2022/2065.

Artículo 5 Cooperación y asistencia entre el prestador auditado y la entidad auditora

1. En el momento acordado con la entidad auditora, y, en todo caso, de forma previa a la ejecución de cualquier procedimiento de auditoría, el prestador auditado transmitirá a la entidad auditora elegida al menos la información siguiente:

• a) una descripción de los controles internos implantados con respecto a cada obligación y compromiso objeto de auditoría, con los indicadores correspondientes y todas las medidas actuales e históricas, además de los valores de referencia empleados para afirmar o hacer el seguimiento de su cumplimiento de las obligaciones y compromisos objeto de auditoría, así como, en su caso, la documentación justificativa;
• b) su análisis preliminar de los riesgos inherentes y de control, cuando haya realizado dicho análisis, y, en su caso, la documentación justificativa;
• c) información sobre las estructuras de toma de decisiones pertinentes, las competencias de los diferentes departamentos del prestador -en particular en lo que respecta a la función de comprobación del cumplimiento con arreglo al artículo 41 del Reglamento (UE) 2022/2065-, los sistemas informáticos pertinentes y las fuentes, el tratamiento y el almacenamiento de los datos, así como explicaciones sobre los sistemas algorítmicos pertinentes y sus interacciones.

2. Sin demora injustificada, el prestador auditado facilitará a la entidad auditora el acceso a todos los datos precisos para la realización de la auditoría, incluidos los datos personales, la documentación y la información sobre procedimientos y procesos, y a los sistemas informáticos, los entornos de pruebas, su personal e instalaciones y, en su caso, los subcontratistas pertinentes.

3. El prestador auditado pondrá a disposición de la entidad auditora todos los recursos necesarios y le facilitará la asistencia y las explicaciones necesarias para que pueda analizar la información pertinente y llevar a cabo las pruebas, en particular cuando la información solicitada por la entidad auditora de conformidad con el artículo 37, apartado 3, del Reglamento (UE) 2022/2065 esté en poder de un tercero contratado por el prestador auditado.

Artículo 6 Informe de auditoría e informe de aplicación de la auditoría

1. La entidad auditora emitirá el informe de auditoría contemplado en el artículo 37, apartado 4, del Reglamento (UE) 2022/2065, sin interferencia por parte del prestador auditado. Dicho informe se elaborará de acuerdo con el modelo del anexo I y contendrá conclusiones detalladas y fundamentadas al respecto de todos los elementos que integran en modelo.

2. En su caso, se redactará el informe de aplicación de la auditoría a que se refiere el artículo 37, apartado 6, del Reglamento (UE) 2022/2065 de acuerdo con el modelo del anexo II.

Artículo 7 Procedimientos de preparación de la auditoría

1. El prestador auditado y la entidad auditora celebrarán un acuerdo por escrito en el que figurarán:

• a) la relación exhaustiva de las obligaciones y los compromisos objeto de auditoría;
• b) las responsabilidades de la entidad auditora, desglosadas, en su caso, por las personas jurídicas que la integren, y las partes facultadas para la firma del informe de auditoría;
• c) los procedimientos y puntos de contacto facilitados por el prestador auditado para que la entidad auditora pueda solicitar el acceso a los datos a que se refiere el artículo 5, apartado 2;
• d) el calendario de la auditoría, con las fechas de inicio y fin de los procedimientos de auditoría y la fecha de finalización del informe de auditoría;
• e) un procedimiento para la resolución de las controversias derivadas de la realización de la auditoría que surjan entre el prestador auditado y la entidad auditora.

2. Se adjuntarán al informe de auditoría el acuerdo contemplado en el apartado 1 y cualquier otro acuerdo o carta de encargo entre la entidad auditora y el prestador auditado en relación con la auditoría.

3. En el supuesto de realizarse modificaciones del acuerdo indicado en el apartado 1 durante la realización de la auditoría, estas se explicitarán en el informe de auditoría.

Artículo 8 Dictamen de auditoría, conclusiones de auditoría y recomendaciones

1. El informe de auditoría incluirá las conclusiones de auditoría que la entidad auditora haya extraído sobre el cumplimiento de cada obligación y cada compromiso objeto de auditoría por parte del prestador auditado. Una conclusión de auditoría será:

• a) «favorable» cuando la entidad auditora concluya, con un grado de seguridad razonable, que el prestador auditado ha cumplido la obligación o el compromiso objeto de auditoría;
• b) «favorable con observaciones» cuando la entidad auditora concluya, con un grado de seguridad razonable, que el prestador auditado ha cumplido la obligación o el compromiso objeto de auditoría, pero:
  • i) la entidad auditora formula observaciones acerca de los valores de referencia facilitados por el prestador auditado con arreglo al artículo 5, apartado 1, letra a); o bien
  • ii) la entidad auditora recomiende mejoras que no afecten al fondo de su conclusión;
• c) «negativa» cuando la entidad auditora concluya, con un grado de seguridad razonable, que el prestador auditado no ha cumplido la obligación o el compromiso objeto de auditoría.

2. Cuando un informe de auditoría incluya recomendaciones operativas a tenor de lo dispuesto en el artículo 37, apartado 4, letra h), del Reglamento (UE) 2022/2065, dichas recomendaciones y el calendario recomendado de su aplicación se indicarán de forma individual para cada obligación o compromiso objeto de auditoría respecto al cual se haya alcanzado una conclusión de auditoría «favorable con observaciones» o «negativa» según lo indicado en el apartado 1.

3. Cuando las recomendaciones operativas a que se refiere el apartado 2 incluyan medidas específicas destinadas a lograr el cumplimiento, en la redacción de su recomendación la entidad auditora explicará su valoración de los efectos de dichas medidas en el umbral de importancia relativa en comparación con la conclusión de auditoría alcanzada respecto a la obligación o al compromiso objeto de auditoría de que se trate.

4. Con base en las conclusiones de auditoría, en el informe de auditoría se incluirá un dictamen de auditoría sobre el cumplimiento por parte del prestador auditado de todas las obligaciones del artículo 37, apartado 1, letra a), del Reglamento (UE) 2022/2065 que hayan sido objeto de auditoría.

5. Con base en las conclusiones relativas a todos los compromisos objeto de auditoría, el informe de auditoría incluirá, según proceda, uno o varios dictámenes de auditoría sobre el cumplimiento por parte del prestador auditado de todos los compromisos asumidos en virtud de cada uno de los códigos de conducta y protocolos de crisis a que se refiere el artículo 37, apartado 1, letra b), del Reglamento (UE) 2022/2065 que hayan sido objeto de auditoría.

6. El dictamen de auditoría emitido en virtud de los apartados 4 y 5 será:

• a) «favorable» en caso de que la entidad auditora haya alcanzado una conclusión de auditoría «favorable» con respecto a la totalidad de las obligaciones y compromisos objeto de auditoría;
• b) «favorable con observaciones» en caso de que la entidad auditora haya alcanzado una conclusión de auditoría «favorable con observaciones» con respecto a, al menos, una de las obligaciones o uno de los compromisos objeto de auditoría, sin que se haya alcanzado una conclusión de auditoría «negativa» respecto a ninguna de las obligaciones o compromisos objeto de auditoría;
• c) «negativo» en caso de que la entidad auditora haya alcanzado una conclusión «negativa» con respecto a, al menos, una de las obligaciones o uno de los compromisos objeto de auditoría.

7. Cuando la entidad auditora estime que el prestador auditado no ha cumplido la obligación o el compromiso objeto de auditoría por un tiempo determinado durante el período indicado en el artículo 3, apartado 2, se dejará debida constancia de ello en el informe de auditoría.

8. Cuando la entidad auditora no se halle en condiciones de emitir, con un grado de seguridad razonable, una conclusión de auditoría conforme al apartado 1 o un dictamen de auditoría conforme a los apartados 4 y 5, en el informe de auditoría se incorporará la explicación de las circunstancias y causas por las que no se haya podido lograr dicho grado de seguridad.

Artículo 9 Análisis de los riesgos de auditoría

1. En el informe de auditoría se incluirá un análisis justificado de los riesgos de auditoría, efectuado por la entidad auditora al objeto de evaluar el cumplimiento por parte del prestador auditado de cada obligación o compromiso objeto de auditoría.

2. El análisis de los riesgos de auditoría se efectuará de forma previa a la realización de los procedimientos de auditoría y se actualizará durante el desarrollo de la auditoría a la luz de toda nueva evidencia de auditoría que, a juicio profesional de la entidad auditora, suponga una modificación de importancia relativa en la evaluación del riesgo de auditoría.

3. En el análisis de los riesgos de auditoría se tendrán en cuenta:

• a) los riesgos inherentes;
• b) los riesgos de control;
• c) los riesgos de detección.

4. En el análisis de los riesgos de auditoría se tendrá en cuenta:

• a) la naturaleza del servicio auditado y el contexto social y económico en que se preste el servicio auditado, atendiendo también a la probabilidad y gravedad de la exposición a situaciones de crisis y acontecimientos imprevistos;
• b) la naturaleza de las obligaciones y los compromisos;
• c) otra información pertinente, en particular:
  • i) en su caso, información procedente de auditorías anteriores a las que se haya sometido el servicio auditado;
  • ii) en su caso, información procedente de los informes emitidos por la Junta Europea de Servicios Digitales o de orientaciones la Comisión, en particular las emitidas en aplicación del artículo 35, apartados 2 y 3, del Reglamento (UE) 2022/2065, así como de cualquier otra orientación pertinente emitida por la Comisión con respecto a la aplicación del Reglamento (UE) 2022/2065;
  • iii) en su caso, información procedente de los informes de auditoría publicados al amparo del artículo 42, apartado 4, del Reglamento (UE) 2022/2065 por otros prestadores de plataformas en línea de muy gran tamaño o de motores de búsqueda en línea de muy gran tamaño que desarrollen sus actividades en condiciones similares o presten servicios similares al servicio auditado.

Artículo 10 Metodologías de auditoría adecuadas

1. Sin perjuicio de las metodologías de auditoría específicas contempladas en los artículos 13, 14, y 15, las auditorías se llevarán a cabo empleando metodologías de auditoría adecuadas para reducir los riesgos de auditoría evaluados a un nivel que permita a la entidad auditora alcanzar las conclusiones de auditoría con un grado de seguridad razonable.

2. En el informe de auditoría se incluirá una descripción de las metodologías de auditoría diseñadas por la entidad auditora de forma previa a la ejecución de cualquier procedimiento de auditoría, con el siguiente contenido mínimo:

• a) los criterios de auditoría para la evaluación del cumplimiento de cada obligación o compromiso objeto de auditoría, definidos con base en la información indicada en el artículo 5, apartado 1, letra a), y el umbral de importancia relativa tolerado, expresado en términos cualitativos o cuantitativos, según proceda;
• b) todas las pruebas, procedimientos analíticos sustantivos y evidencia de auditoría que la entidad auditora pretenda emplear en su evaluación del cumplimiento de cada obligación o compromiso objeto de auditoría.

En el informe de auditoría se incluirá una descripción de las modificaciones que se hayan producido en las metodologías empleadas durante el desarrollo de la auditoría respecto a las metodologías diseñadas de forma previa a la realización de los procedimientos de auditoría.

3. Cuando una entidad auditora albergue dudas razonables sobre la información evaluada durante la auditoría, en particular, la información presentada por el prestador auditado, se adaptarán la elección y aplicación de la metodología para proporcionar a la entidad la evidencia de auditoría necesaria a tenor del artículo 11.

4. En particular, se considerará que se plantean las dudas razonables a que se refiere el apartado 3 cuando se dé cualquiera de los elementos siguientes:

• a) juicio y escepticismo profesionales en la evaluación de la información, en particular la información sobre los controles internos del prestador auditado que induzca a la entidad auditora a albergar dudas razonables;
• b) indicios externos que apunten a riesgos de auditoría, en particular, los informes de la Junta Europea de Servicios Digitales contemplados en el artículo 35, apartado 2, del Reglamento (UE) 2022/2065, las orientaciones de la Comisión, en particular las indicadas en su artículo 35, apartado 3, así como cualquier otra orientación pertinente emitida por la Comisión en relación con la aplicación del Reglamento (UE) 2022/2065 y los informes de auditoría emitidos en virtud de los códigos de conducta o protocolos de crisis a que se refieren los artículos 45, 46 y 48 del citado Reglamento;
• c) información relacionada con hechos acaecidos durante la auditoría, incluidas las situaciones de crisis, que requieran actuaciones suplementarias por parte del prestador auditado para asegurar el cumplimiento de determinadas obligaciones o compromisos objeto de auditoría.

5. Entre los procedimientos de auditoría figurarán al menos:

• a) la realización de pruebas y procedimientos analíticos sustantivos en relación con los controles internos implantados por el prestador auditado con respecto a cada obligación y cada compromiso objeto de auditoría;
• b) la realización de procedimientos analíticos sustantivos al objeto de evaluar el cumplimiento de cada obligación y compromiso objeto de auditoría, también con respecto a los sistemas algorítmicos;
• c) la realización de pruebas, también con respecto a los sistemas algorítmicos, en relación con las obligaciones y los compromisos objeto de auditoría sobre los que la entidad auditora albergue dudas razonables, tal y como se indica en el apartado 4, y en relación con las obligaciones y los compromisos objeto de auditoría respecto a los cuales la entidad auditora estime necesario efectuar pruebas según la metodología de su elección en virtud del apartado 1.

6. Cuando las obligaciones o compromisos a que se refiere el artículo 37, apartado 1, del Reglamento (UE) 2022/2065 exijan que el prestador auditado haga pública determinada información, las metodologías de auditoría evaluarán si la información comunicada está exenta de errores materiales u omisiones que, de constatarse, podrían hacer que esta resultara engañosa.

Artículo 11 Calidad de la evidencia de auditoría

Las conclusiones y los dictámenes de auditoría se basarán en una evidencia de auditoría que reúna los dos requisitos que se indican a continuación:

• a) que sea pertinente y suficiente para reducir los riesgos de auditoría detectados de acuerdo con el artículo 9 y para permitir a la entidad auditora emitir conclusiones y dictámenes de auditoría de acuerdo con el artículo 8;
• b) que sea fiable según el juicio y escepticismo profesionales de la entidad auditora.

Artículo 12 Métodos de muestreo

1. Cuando la evidencia de auditoría se base, parcial o íntegramente, en una muestra de datos o información, el tamaño de la muestra y la metodología de muestreo se determinarán procurando minimizar el riesgo de detección y sin interferencia por parte del prestador auditado.

2. El tamaño de la muestra y la metodología de muestreo se determinarán de tal forma que se asegure la representatividad de los datos o la información y, según proceda, atendiendo a todos los aspectos siguientes:

• a) la representatividad de la muestra respecto al período indicado en el artículo 3, apartados 2 y 3;
• b) los cambios pertinentes en el servicio auditado durante dicho período;
• c) los cambios pertinentes en el contexto en que se presta el servicio auditado durante dicho período;
• d) las funciones pertinentes de los sistemas algorítmicos, como la personalización basada en la elaboración de perfiles u otros criterios, en su caso;
• e) otras características pertinentes o particiones de los datos, información y evidencia objeto de examen;
• f) según proceda, la representación y el análisis adecuado de las preocupaciones relacionadas con grupos concretos, como los menores o los grupos y minorías vulnerables, en relación con la obligación o el compromiso auditados.

3. El tamaño de la muestra y la metodología de muestreo se justificarán en el informe de auditoría.

Artículo 13 Metodologías específicas para la auditoría del cumplimiento del artículo 34, sobre la evaluación de riesgos, del Reglamento (UE) 2022/2065

1. En la evaluación del cumplimiento del artículo 34 del Reglamento (UE) 2022/2065 por parte del prestador auditado se analizarán, entre otros aspectos, los siguientes:

• a) si el prestador auditado ha detectado, analizado y evaluado con diligencia los riesgos sistémicos en la Unión a los que se refiere el artículo 34, apartado 1, párrafo primero, del Reglamento (UE) 2022/2065, evaluando, entre otros aspectos:
  • i) cómo el prestador auditado ha detectado los riesgos vinculados a su servicio, atendiendo a los aspectos regionales y lingüísticos del uso que se dé a su servicio, incluso cuando sean específicos de un Estado miembro, y si los riesgos se han detectado de forma adecuada;
  • ii) cómo el prestador auditado ha analizado y evaluado cada riesgo y considerado la probabilidad y gravedad de los riesgos, y si su evaluación es adecuada;
  • iii) cómo el prestador auditado ha determinado, analizado y evaluado los factores contemplados en el artículo 34, apartado 2, párrafo primero, del Reglamento (UE) 2022/2065, si los ha determinado de forma adecuada y en qué medida dichos factores inciden en los riesgos señalados en el apartado 1 de dicho artículo;
  • iv) qué fuentes de información ha utilizado el prestador auditado, cómo ha obtenido la información, y si, y en su caso cómo, ha basado su análisis en conocimientos científicos y técnicos;
  • v) si, y en su caso cómo, el prestador auditado ha probado sus hipótesis sobre los riesgos con los grupos más afectados por los riesgos específicos;
• b) si la evaluación de riesgos se ha hecho en los plazos contemplados en el artículo 34, apartado 1, párrafo segundo, del Reglamento (UE) 2022/2065 y, en su caso, en los plazos indicados para las actividades configuradas como medidas de reducción de riesgos para la detección de riesgos sistémicos con arreglo al artículo 35, apartado 1, letra f) del citado Reglamento;
• c) cómo el prestador auditado ha detectado las funcionalidades susceptibles de tener un impacto crítico en los riesgos y que, por lo tanto, deben ser objeto de evaluaciones de riesgos antes de su implantación con arreglo al artículo 34, apartado 1, párrafo segundo, del Reglamento (UE) 2022/2065, si dichas funcionalidades se han detectado correctamente y si la evaluación de riesgos se ha llevado a cabo de forma adecuada;
• d) si el prestador auditado ha determinado correctamente la documentación justificativa de la evaluación de riesgos que debe conservar, si cuenta con los medios necesarios para asegurar la conservación de dicha documentación durante al menos tres años, de acuerdo con el artículo 34, apartado 3, del Reglamento (UE) 2022/2065, y si dicha documentación se encuentra debidamente conservada.

2. Sin perjuicio de cuantos otros análisis sean precisos para alcanzar un grado de seguridad razonable, las metodologías de auditoría del cumplimiento del artículo 34 del Reglamento (UE) 2022/2065 incluirán la evaluación por parte de la entidad auditora de, al menos, los elementos que se indican a continuación:

• a) los controles internos implantados por el prestador auditado al objeto de controlar que se lleven a cabo las evaluaciones de riesgos para cada uno de los factores indicados en el artículo 34, apartado 2, párrafo primero, del Reglamento (UE) 2022/2065; esta evaluación:
  • i) se fundamentará en procedimientos analíticos sustantivos relativos a dichos controles internos;
  • ii) se basará en pruebas encaminadas a determinar la fiabilidad de dichos controles internos y la diligencia empleada en su diseño, ejecución y seguimiento;
  • iii) verificará el desempeño del encargado o de los encargados del cumplimiento con arreglo al artículo 41, apartado 3, letras b), d), e) y, en su caso, f), del Reglamento (UE) 2022/2065, y la participación del órgano de dirección del prestador auditado en la toma de decisiones relacionadas con la gestión de riesgos conforme al artículo 41, apartados 6 y 7, del mismo Reglamento;
• b) las actuaciones, los recursos y los procesos implantados por el prestador auditado para asegurar el cumplimiento del artículo 34 del Reglamento (UE) 2022/2065 y sus resultados; esta evaluación se basará en:
  • i) procedimientos analíticos sustantivos;
  • ii) pruebas, incluidas pruebas de los sistemas algorítmicos, en caso de que la entidad auditora albergue dudas razonables, a la luz de los resultados de los procedimientos analíticos sustantivos y la evaluación de los controles internos, o estime necesario realizar pruebas según la metodología de su elección en virtud del artículo 10, apartado 1.

3. La entidad auditora sustentará la evaluación realizada de acuerdo con el presente artículo en el análisis, entre otros datos, de la información que se cita a continuación:

• a) el informe de evaluación de riesgos correspondiente al período auditado, elaborado por el prestador auditado, junto con la información confidencial que, en su caso, se haya omitido de la información publicada con arreglo al artículo 42, apartado 2, de dicho Reglamento, y toda la documentación justificativa;
• b) cuando proceda, los otros informes de evaluación de riesgos del prestador auditado y la correspondiente documentación justificativa;
• c) la información remitida por el prestador auditado con arreglo al artículo 5;
• d) todos los informes de transparencia pertinentes del prestador auditado a que se refiere el artículo 15, apartado 1, del Reglamento (UE) 2022/2065;
• e) otros resultados de pruebas, documentación, evidencia, declaraciones en respuesta a preguntas formuladas por escrito o de forma oral al personal del prestador auditado por parte de la entidad auditora y, en su caso, observaciones realizadas en las instalaciones;
• f) otras evidencias pertinentes, incluidas las basadas en información facilitada por el prestador auditado;
• g) cuando estén disponibles, los informes contemplados en el artículo 35, apartado 2, del Reglamento (UE) 2022/2065, las orientaciones de la Comisión, en particular las emitidas con arreglo al artículo 35, apartado 3, de dicho Reglamento y cualquier otra orientación emitida por la Comisión en relación con la aplicación del Reglamento (UE) 2022/2065.

4. La información analizada por la entidad auditora podrá comprender, según proceda, la información contemplada en el artículo 42, apartado 4, del Reglamento (UE) 2022/2065, incluida la procedente de informes de auditoría, de evaluación de riesgos y de reducción de riesgos relativos a otras plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño, o datos e investigaciones publicados por investigadores autorizados con arreglo al artículo 40, apartado 8, letra g), de dicho Reglamento.

Artículo 14 Metodologías específicas para la auditoría del cumplimiento del artículo 35, sobre la reducción de riesgos, del Reglamento (UE) 2022/2065

1. En la evaluación del cumplimiento del artículo 35 del Reglamento (UE) 2022/2065 por parte del prestador auditado se analizarán, entre otros aspectos, los siguientes:

• a) cómo el prestador auditado ha determinado las medidas de reducción de riesgos para cada uno de los riesgos sistémicos indicados en el artículo 34, apartado 1, del Reglamento (UE) 2022/2065 y si tales medidas de reducción de riesgos se han determinado con diligencia;
• b) cómo el prestador auditado ha evaluado la aplicabilidad al servicio auditado de las medidas de reducción de riesgos previstas en el artículo 35, apartado 1, letras a) a k), del Reglamento (UE) 2022/2065 y si la conclusión de dicha evaluación es adecuada, también con respecto a las medidas no aplicadas por el prestador auditado;
• c) si las medidas de reducción de riesgos aplicadas por el prestador auditado son razonables, proporcionadas y eficaces para mitigar los diferentes riesgos, en particular mediante lo siguiente:
  • i) evaluando si, en su conjunto, responden a todos los riesgos, prestando particular atención a los riesgos relacionados con el ejercicio de derechos fundamentes;
  • ii) comparando cómo se abordaron los riesgos antes y después de la aplicación de las medidas específicas de reducción de riesgos;
  • iii) valorando si las medidas de reducción de riesgos se diseñaron y ejecutaron adecuadamente.

2. Sin perjuicio de cuantos otros análisis sean precisos para alcanzar un grado de seguridad razonable, las metodologías de auditoría del cumplimiento del artículo 35 del Reglamento (UE) 2022/2065 incluirán la evaluación por parte de la entidad auditora de, al menos, los elementos que se indican a continuación:

• a) los controles internos implantados por el prestador auditado para el seguimiento de la aplicación de las medidas de reducción de riesgos contempladas en el artículo 35, apartado 1, del Reglamento (UE) 2022/2065, y si son razonables, proporcionadas y efectivas; esta evaluación:
  • i) se fundamentará en procedimientos analíticos sustantivos relativos a dichos controles internos;
  • ii) se basará en pruebas encaminadas a determinar la fiabilidad de dichos controles internos y la diligencia empleada en su diseño, ejecución y seguimiento;
  • iii) verificará el desempeño del encargado o de los encargados del cumplimiento con arreglo al artículo 41, apartado 3, letras b), d), e) o, en su caso, f), del Reglamento (UE) 2022/2065, y la participación del órgano de dirección del prestador conforme al artículo 41, apartados 6 y 7, del mismo Reglamento;
• b) las medidas de reducción de riesgos establecidas por los prestadores auditados; esta evaluación se basará en:
  • i) procedimientos analíticos sustantivos;
  • ii) pruebas, incluidas pruebas de los sistemas algorítmicos, en caso de que la entidad auditora albergue dudas razonables, a la luz de los resultados de los procedimientos analíticos sustantivos y la evaluación de los controles internos, o estime necesario realizar pruebas según la metodología de su elección en virtud del artículo 10, apartado 1.

3. La entidad auditora sustentará la evaluación realizada de acuerdo con el presente artículo en el análisis, entre otros datos, de la información que se cita a continuación:

• a) los informes de evaluación y reducción de riesgos correspondientes al período auditado elaborados por el prestador auditado, junto con la información confidencial que, en su caso, se haya omitido de la información publicada con arreglo al artículo 42, apartado 2, del Reglamento (UE) 2022/2065, y toda la documentación justificativa;
• b) cuando proceda, los otros informes de evaluación y reducción de riesgos del prestador auditado y la correspondiente documentación justificativa;
• c) la información remitida por el prestador auditado con arreglo al artículo 5;
• d) todos los informes de transparencia pertinentes del prestador auditado a que se refiere el artículo 15, apartado 1, del Reglamento (UE) 2022/2065;
• e) cuando proceda, informes anteriores de reducción de riesgos, con la correspondiente documentación justificativa, relativos a períodos no abarcados por el período auditado, junto con la información confidencial que, en su caso, se haya omitido de la información publicada con arreglo al artículo 42, apartado 2, del Reglamento (UE) 2022/2065;
• f) otros resultados de pruebas, documentación, evidencia, declaraciones en respuesta a preguntas formuladas por escrito o de forma oral al personal del prestador auditado por parte de la entidad auditora y, en su caso, observaciones realizadas en las instalaciones;
• g) otras evidencias pertinentes, incluidas las basadas en información facilitada por el prestador auditado;
• h) cuando estén disponibles, los informes contemplados en el artículo 35, apartado 2, del Reglamento (UE) 2022/2065, las orientaciones de la Comisión, en particular las emitidas con arreglo al artículo 35, apartado 3, de dicho Reglamento y cualquier otra orientación emitida por la Comisión en relación con la aplicación del Reglamento (UE) 2022/2065.

4. La información analizada por la entidad auditora podrá comprender, según proceda, la información contemplada en el artículo 42, apartado 4, del Reglamento (UE) 2022/2065, incluida la procedente de informes de auditoría, de evaluación de riesgos y de reducción de riesgos relativos a otras plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño, o datos e investigaciones publicados por investigadores autorizados con arreglo al artículo 40, apartado 8, letra g), del Reglamento (UE) 2022/2065.

Artículo 15 Metodologías específicas para la auditoría del cumplimiento del artículo 36, sobre el mecanismo de respuesta a las crisis, del Reglamento (UE) 2022/2065

1. La evaluación del cumplimiento por parte del prestador auditado del artículo 36, apartado 1, párrafo primero, letra a), del Reglamento (UE) 2022/2065 incluirá, entre otros aspectos, un análisis de si, y de qué manera, el prestador auditado ha llevado a cabo las actuaciones necesarias, en particular:

• a) si, y de qué manera, el prestador auditado ha determinado los sistemas pertinentes que intervienen en el funcionamiento y el uso de su servicio y contribuyen a una amenaza grave, y si dichos sistemas se han determinado adecuadamente;
• b) si, y de qué manera, el prestador auditado ha definido y hecho un seguimiento de la contribución significativa a la amenaza grave, y si su evaluación es adecuada;
• c) cualquier otro requisito recogido, en su caso, en la decisión adoptada por la Comisión en aplicación del artículo 36, apartado 1 o apartado 7, párrafo segundo, del Reglamento (UE) 2022/2065.

2. La evaluación del cumplimiento por parte del prestador auditado del artículo 36, apartado 1, párrafo primero, letra b), del Reglamento (UE) 2022/2065 incluirá, entre otros aspectos, un análisis de si, y de qué manera, el prestador auditado ha llevado a cabo las actuaciones necesarias, en particular:

• a) si, y de qué manera, el prestador auditado ha determinado las medidas para prevenir, eliminar o limitar cualquier contribución a la amenaza grave;
• b) si, y de qué manera, las medidas adoptadas por el prestador auditado hacen frente a la gravedad de la amenaza y la urgencia, y si las medidas son adecuadas en este sentido;
• c) si, y de qué manera, el prestador auditado ha determinado las partes afectadas por las medidas y sus intereses legítimos, y de qué manera ha evaluado la incidencia real o potencial de las medidas en los derechos, en particular, los derechos fundamentales, y los intereses legítimos de dichas partes;
• d) si las medidas adoptadas por el prestador auditado son efectivas y proporcionadas;
• e) cualquier otro requisito recogido, en su caso, en la decisión adoptada por la Comisión en aplicación del artículo 36, apartado 1 o apartado 7, párrafo segundo, del Reglamento (UE) 2022/2065.

3. La evaluación del cumplimiento por parte del prestador auditado del artículo 36, apartado 1, párrafo primero, letra c), del Reglamento (UE) 2022/2065 incluirá, entre otros aspectos, un análisis del desarrollo de las actuaciones necesarias por parte del prestador auditado y, en particular, si ha comunicado a la Comisión la información especificada en una decisión adoptada por esta con arreglo al artículo 36, apartado 1 o apartado 7, párrafo segundo, del Reglamento (UE) 2022/2065, así como un análisis de la exactitud de los informes correspondientes.

Artículo 16 Auditoría del cumplimiento del artículo 37, sobre la auditoría independiente, del Reglamento (UE) 2022/2065

1. El cumplimiento de las obligaciones establecidas en el artículo 37 del Reglamento (UE) 2022/2065 y en el presente Reglamento se evaluará respecto a la auditoría o las auditorías del período anual precedente al que es objeto de la auditoría en curso.

2. Además de lo dispuesto en el apartado 1, la auditoría incluirá la evaluación del cumplimiento por parte del prestador auditado del artículo 37, apartado 2, del Reglamento (UE) 2022/2065 respecto a la auditoría en curso.

3. Cuando la auditoría o auditorías anteriores a que se refiere el apartado 1 hayan sido realizadas por la misma entidad auditora a cargo de la auditoría en curso, o cuando la entidad de auditoría encargada de la auditoría en curso esté integrada por al menos una persona jurídica que haya participado en la auditoría anterior, en el informe de auditoría se explicarán los pasos que la entidad auditora ha seguido para asegurar la objetividad de su evaluación.

Artículo 17 Auditoría del cumplimiento de los códigos de conducta y protocolos de crisis

1. El prestador auditado pondrá a disposición de la entidad auditora:

• a) la relación y el texto de todos los códigos de conducta contemplados en los artículos 45 y 46 del Reglamento (UE) 2022/2065 y los protocolos de crisis indicados en el artículo 48 del mismo Reglamento de los que el prestador auditado sea signatario;
• b) una relación pormenorizada de los compromisos asumidos por el prestador auditado en virtud de dichos códigos de conducta y protocolos de crisis;
• c) según proceda, los indicadores clave de eficacia acordados en virtud de cada código de conducta y protocolo de crisis;
• d) según proceda, todas las mediciones, datos y documentos disponibles, así como todos los informes elaborados por el prestador auditado respecto a su cumplimiento de los compromisos asumidos, incluido el acceso a la totalidad de la información y los datos que sean de interés en relación con el funcionamiento de los servicios ofrecidos por el prestador auditado pertinentes para la aplicación del código de conducta o protocolo de crisis;
• e) en su caso, otras mediciones, datos y documentos elaborados por las partes signatarias del código de conducta o el protocolo de crisis, así como las evaluaciones llevadas a cabo por la Comisión o la Junta según lo dispuesto en el artículo 45, apartado 4, del Reglamento (UE) 2022/2065.

2. La evaluación del cumplimiento por parte del prestador auditado de los códigos de conducta a que se refiere el artículo 45 del Reglamento (UE) 2022/2065 incluirá, entre otros aspectos, la medición de los indicadores clave de eficacia establecidos en el código de conducta en virtud del artículo 45, apartado 3, de dicho Reglamento, con indicación del umbral de importancia relativa de las conclusiones de auditoría, y la determinación de la exactitud de los datos comunicados.

Artículo 18 Entrada en vigor

El presente Reglamento entrará en vigor a los veinte días de su publicación en el Diario Oficial de la Unión Europea.

El presente Reglamento será obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.