Anúnciate en Noticias Jurídicas Newsletter Colabora con nosotros

TIENDA LA LEY

LA LEY. Librería Jurídica Online Profesional

TIENDA PUBLICACIONES FORMACIÓN BASES DE DATOS SOFTWARE DE GESTIÓN

Base de Datos de Legislaci髇

Reglamento Delegado (UE) 2024/436 de la Comisi髇, de 20 de octubre de 2023, por el que se completa el Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo estableciendo las normas relativas a la realizaci髇 de auditor韆s de las plataformas en l韓ea de muy gran tama駉 y los motores de b鷖queda en l韓ea de muy gran tama駉

Ficha:
  • 觬ganoCOMISION EUROPEA
  • Publicado en DOUEL de 02 de Febrero de 2024
  • Vigencia desde 22 de Febrero de 2024
Versiones/revisiones:

Sumario

LA COMISI覰 EUROPEA,

Visto el Tratado de Funcionamiento de la Uni髇 Europea,

Visto el Reglamento (UE) 2022/2065 del Parlamento Europeo y del Consejo, de 19 de octubre de 2022, relativo a un mercado 鷑ico de servicios digitales y por el que se modifica la Directiva 2000/31/CE (Reglamento de Servicios Digitales) (1) , y en particular su art韈ulo 37, apartado 7,

Considerando lo siguiente:

  • (1) Las auditor韆s independientes suponen una herramienta importante en la supervisi髇 del cumplimiento por parte de los prestadores de las plataformas en l韓ea de muy gran tama駉 y los motores de b鷖queda en l韓ea de muy gran tama駉 de las obligaciones que les impone el Reglamento (UE) 2022/2065. Aunque se contemplan otras herramientas de rendici髇 de cuentas en dicho Reglamento, en particular el refuerzo del control p鷅lico de los informes de transparencia y otros requisitos de divulgaci髇 de datos, las entidades auditoras independientes tienen un papel especial a la hora de evaluar el cumplimiento del Reglamento por parte de los prestadores en un momento inicial. Las conclusiones, observaciones y recomendaciones de dichas auditor韆s independientes pueden constituir una aportaci髇 significativa a la supervisi髇 reguladora. Al mismo tiempo, las auditor韆s independientes son una de las varias fuentes de informaci髇 y an醠isis que los reguladores pueden usar en su labor de supervisar y garantizar el cumplimento de la normativa.
  • (2) Para asegurar el desarrollo eficaz, eficiente, en tiempo oportuno y equiparable de las auditor韆s independientes realizadas a partir de la fecha de aplicaci髇 prevista en los art韈ulos 92 y 93 del Reglamento (UE) 2022/2065, procede que la Comisi髇 establezca normas de auditor韆, en particular, en lo que respecta a las obligaciones legales de los prestadores auditados y las fases del procedimiento para asegurar que las organizaciones auditoras re鷑an las condiciones de independencia, ausencia de conflictos de intereses, conocimientos especializados y 閠ica profesional establecidas en el art韈ulo 37, apartado 3, del Reglamento (UE) 2022/2065.
  • (3) Al objeto de facilitar la correcta realizaci髇 de las auditor韆s con un alto nivel de conocimientos especializados y evitar consecuencias imprevistas en el mercado de los servicios de auditor韆, es preciso aclarar que son varios los auditores que pueden realizar las auditor韆s previstas en el art韈ulo 37 del Reglamento (UE) 2022/2065. En caso de necesidad -por ejemplo, si se precisan conocimientos espec韋icos sobre la auditor韆 de determinadas obligaciones o compromisos, como los relacionados con el dise駉 y funcionamiento de los sistemas algor韙micos, o una comprensi髇 de los riesgos en materia de derechos fundamentales o la difusi髇 de contenidos il韈itos-, el prestador auditado tiene la posibilidad de contratar a distintas entidades auditoras, o un consorcio de entidades, para realizar la auditor韆. Las entidades auditoras tambi閚 tienen la posibilidad de subcontratar a terceros con los conocimientos especializados necesarios, siempre que tanto la entidad auditora como los subcontratistas re鷑an las condiciones necesarias de independencia, ausencia de conflictos de intereses y objetividad y 閠ica profesional acreditadas, adem醩 de satisfacer de forma conjunta las condiciones en materia de conocimientos t閏nicos. Aun en tales supuestos, sigue siendo necesario que el prestador auditado garantice que se lleve a cabo, con una periodicidad m韓ima anual, la auditor韆 de su cumplimiento de todas las obligaciones y todos los compromisos a que se refiere el art韈ulo 37, apartado 1, del Reglamento (UE) 2022/2065.
  • (4) Es necesario que las entidades auditoras emitan los dict醡enes de auditor韆 contemplados en el art韈ulo 37, apartado 4, letra g), del Reglamento (UE) 2022/2065 con un grado de seguridad razonable, para lo cual han de tener un grado de confianza alto, aunque no absoluto, en que no existen incorrecciones, como omisiones, inexactitudes o errores, que no se hayan detectado en la auditor韆. Para garantizar dicho grado de seguridad, es necesario, entre otros aspectos, que la entidad auditora obtenga una evidencia de auditor韆 suficiente y emplee metodolog韆s de auditor韆 adecuadas en su evaluaci髇.
  • (5) A tenor de lo dispuesto en el art韈ulo 37, apartado 1, del Reglamento (UE) 2022/2065, las auditor韆s independientes deben realizarse al menos una vez al a駉, atendiendo al ciclo anual de las evaluaciones de riesgos contempladas en el art韈ulo 34. Sin embargo, en determinados supuestos puede requerirse una mayor frecuencia de las auditor韆s. La frecuencia las auditor韆s ha de asegurar que haya una continuidad en la supervisi髇 del cumplimiento por parte de los prestadores auditados del Reglamento (UE) 2022/2065 y de los c骴igos de conducta y protocolos de crisis pertinentes. El prestador auditado debe asegurarse de que el per韔do abarcado por una determinada auditor韆 en la que se eval鷈 su cumplimiento de las obligaciones y compromisos objeto de auditor韆 complemente el per韔do cubierto por la auditor韆 anterior de su cumplimiento de las mismas obligaciones y compromisos y que dicho per韔do comience, a m醩 tardar, cuando se haya cerrado el per韔do de la auditor韆 anterior. Dado que la conclusi髇 de una auditor韆 implica tanto la evaluaci髇 por parte de la entidad auditora como la elaboraci髇 de un informe de auditor韆, los prestadores auditados deben garantizar que las auditor韆s tengan una duraci髇 que permita finalizarlas al menos una vez al a駉 y que los informes de auditor韆 se transmitan a la Comisi髇 y al coordinador de servicios digitales sin dilaci髇 indebida, tal como establece el art韈ulo 42, apartado 4, del Reglamento (UE) 2022/2065.
  • (6) Los prestadores auditados, si bien deben abstenerse de interferir en el desarrollo de la auditor韆 y en sus conclusiones, han de cumplir las obligaciones contempladas en el art韈ulo 37 del Reglamento (UE) 2022/2065, entre otros aspectos mediante la concertaci髇 de condiciones contractuales con la entidad auditora y la verificaci髇, previa a la elecci髇 de la entidad auditora, de que esta cumple las condiciones contempladas en el art韈ulo 37, apartado 3, del Reglamento (UE) 2022/2065.
  • (7) Por ejemplo, el prestador auditado tiene que evaluar los contratos que haya celebrado con la entidad auditora con anterioridad o los contratos que la entidad auditora haya celebrado con personas jur韉icas vinculadas al prestador auditado. Tambi閚 es necesario que, en los contratos con las entidades auditoras, el prestador auditado incluya cl醬sulas destinadas a garantizar el respeto de las condiciones establecidas en el art韈ulo 37, apartado 3, del Reglamento (UE) 2022/2065. Cuando la entidad auditora est integrada por varias entidades, el prestador auditado tiene que comprobar el cumplimiento de dichas condiciones por todas ellas, incluidos, en su caso, los subcontratistas contratados por la entidad auditora para prestar alg鷑 tipo de apoyo en la realizaci髇 de la auditor韆. Mientras que cada entidad que intervenga en la auditor韆 debe reunir los requisitos de independencia y ausencia de conflictos de intereses de forma individual, los requisitos relacionados con la competencia, los conocimientos especializados o los recursos t閏nicos han de cumplirse de forma conjunta, lo que permite que distintas entidades puedan encargarse de distintas partes de la auditor韆 y aportar las capacidades, la competencia y los conocimientos especializados necesarios para su realizaci髇. En el informe de auditor韆 se deben especificar las responsabilidades de cada una de esas entidades respecto a las distintas partes de la auditor韆.
  • (8) Conforme a lo dispuesto en el art韈ulo 37, apartado 3, letra a), inciso i), del Reglamento (UE) 2022/2065, a la hora de verificar si una entidad auditora cumple los requisitos de independencia y de ausencia de conflictos de intereses, el prestador auditado debe poner especial atenci髇 en evitar que la entidad auditora le preste servicios que no sean de auditor韆. Entre los servicios cuya posible prestaci髇 debe comprobar se encuentran, por ejemplo, los relacionados con cualquier sistema, programa inform醫ico o proceso que intervenga en cuestiones pertinentes para la obligaci髇 o compromiso objeto de auditor韆, tales como servicios de consultor韆 para la evaluaci髇 del desempe駉, la gobernanza y los programas inform醫icos, servicios de formaci髇, desarrollo o mantenimiento de sistemas, o subcontrataci髇 de la moderaci髇 de contenidos. Tambi閚 se incluyen los servicios prestados al prestador auditado en materia de asesoramiento sobre controles internos, o de desarrollo de estos, as como en materia de evaluaci髇, con fines internos, de su cumplimiento del Reglamento (UE) 2022/2065 o de los c骴igos de conducta y protocolos de crisis, aunque lo anterior se haya limitado a la realizaci髇 de pruebas puntuales, como, por ejemplo, pruebas de funcionamiento de los sistemas de moderaci髇 de contenidos realizadas por terceros. Esto no debe excluir a las organizaciones de auditor韆 que hayan realizado auditor韆s financieras legales.
  • (9) Dada la complejidad y peculiaridad de las auditor韆s de cumplimiento del Reglamento (UE) 2022/2065, los conocimientos especializados de la entidad auditora en la materia son un requisito fundamental para la realizaci髇 de las auditor韆s con un grado de seguridad razonable y aplicando el juicio y escepticismo profesionales que permiten a la entidad saber, por ejemplo, qu informaci髇 necesita para realizar los procedimientos de auditor韆 o cuestionar la informaci髇 contradictoria. Resulta, por lo tanto, necesario que el prestador auditado compruebe que la entidad auditora posee dichos conocimientos especializados, entre otros en materia de gesti髇 de riesgos, tanto por lo que respecta a los riesgos de auditor韆 como al objeto del Reglamento (UE) 2022/2065, y, en particular, los riesgos sist閙icos para la sociedad contemplados en el art韈ulo 34 del mismo. Tambi閚 corresponde al prestador auditado verificar la competencia y capacidades t閏nicas de la entidad auditora, atendiendo al servicio concreto objeto de auditor韆, y, en particular, sus conocimientos especializados en la materia, por ejemplo, en lo referente al funcionamiento y los efectos de sistemas algor韙micos tales como los sistemas de recomendaci髇 y otros sistemas sociot閏nicos que gestione el prestador. Es necesario que la entidad auditora tenga la posibilidad de recurrir a la subcontrataci髇 u otras modalidades para obtener y utilizar los conocimientos especializados y capacidades necesarios, y que el prestador auditado verifique y se asegure de que la entidad auditora sea capaz de reunir dichos conocimientos especializados y capacidades a tiempo para la realizaci髇 de la auditor韆.
  • (10) A la hora de verificar el cumplimiento por parte de las entidades auditoras de las condiciones establecidas en el art韈ulo 37, apartado 3, del Reglamento (UE) 2022/2065, el prestador auditado tiene que evaluar las pruebas que lo acrediten, incluidas, en su caso, las certificaciones, las declaraciones y los informes de auditor韆 emitidos por la entidad auditora. A modo de ejemplo, la posesi髇 de los conocimientos especializados adecuados podr韆 acreditarse a trav閟 de la experiencia pr醕tica en la evaluaci髇 y gesti髇 de riesgos, y tambi閚 mediante la actividad acad閙ica, publicaciones cient韋icas y experiencia en auditor韆s pertinentes. Los informes de auditor韆 han de contener toda la documentaci髇 justificativa del cumplimiento de las condiciones pertinentes por parte de la entidad auditora.
  • (11) A tenor de lo dispuesto en el art韈ulo 37, apartado 2, del Reglamento (UE) 2022/2065, el prestador auditado debe proporcionar la cooperaci髇 y la asistencia necesarias para permitir que la entidad auditora lleve a cabo la auditor韆 de manera eficaz, eficiente y en tiempo oportuno, y abstenerse de toda injerencia en las decisiones independientes de la entidad auditora. A modo de ejemplo, el prestador auditado no debe imponer, asesorar o ejercer cualquier otro tipo de influencia sobre la entidad auditora, mediante restricciones o incentivos, sean contractuales o no, en su elecci髇 y ejecuci髇 de procedimientos de auditor韆, metodolog韆s, obtenci髇 y tratamiento de datos y evidencias de auditor韆, an醠isis, pruebas, dictamen de auditor韆 o elaboraci髇 de las conclusiones de auditor韆.
  • (12) Al objeto de garantizar la cooperaci髇 y la asistencia necesarias durante la auditor韆, el prestador auditado ha de asegurarse de que la entidad auditora tenga acceso a toda la informaci髇 necesaria para realizar la auditor韆. Es preciso que el prestador auditado remita todos los documentos y explicaciones necesarios a la mayor brevedad posible y, en todo caso, antes de que la entidad auditoria inicie la ejecuci髇 de los procedimientos de auditor韆. Por ejemplo, en virtud del art韈ulo 41, apartado 3, letras d) y e), del Reglamento (UE) 2022/2065, la funci髇 de comprobaci髇 del cumplimiento del prestador auditado consiste en hacer el seguimiento del cumplimiento de todas las obligaciones y compromisos objeto de auditor韆, lo que debe traducirse en la elaboraci髇 de controles internos. Por consiguiente, la entidad auditora debe tener acceso a toda la informaci髇 relativa a esos controles internos y a cualquier otra informaci髇 que describa la estrategia del prestador para garantizar el cumplimiento. En concreto, el prestador auditado debe poner a disposici髇 de la entidad auditora los valores de referencia utilizados para garantizar el cumplimiento del Reglamento (UE) 2022/2065, de modo que la entidad auditora pueda basar los criterios de auditor韆 en esta informaci髇. Adem醩, la entidad auditora debe tener acceso a todo an醠isis que el prestador auditado pueda haber realizado en materia de riesgos inherentes y riesgos de control. El prestador debe poner a disposici髇 de la entidad auditora informaci髇 que facilite la comprensi髇 del servicio auditado, su gobernanza, la competencia de los diferentes equipos y estructuras de toma de decisiones, en particular su funci髇 de comprobaci髇 del cumplimiento, as como presentaciones de sus sistemas inform醫icos, datos y estructuras de registros, y la interacci髇 entre los diferentes sistemas algor韙micos pertinentes para la auditor韆.
  • (13) Es importante que la entidad auditora tenga la posibilidad, en cualquier momento durante la auditor韆, de requerir cualquier otra informaci髇 necesaria, y que se le facilite el acceso a dicha informaci髇 sin demora injustificada y de tal forma que no se vea obstaculizado en modo alguno el desarrollo de la auditor韆. Este requisito debe aplicarse igualmente al acceso a los datos, incluidos los de car醕ter personal, recabados de diversas fuentes, tales como documentos, sistemas algor韙micos, bases de datos o entrevistas, seg鷑 proceda. Tambi閚 resulta necesario que el prestador auditado facilite a la entidad auditora el acceso a sus procedimientos y procesos y a los sistemas inform醫icos, entre ellos los sistemas algor韙micos y de informaci髇, incluidos los entornos de pruebas. Para asegurar la eficacia de la revisi髇 de los citados sistemas por parte de la entidad auditora, es necesario que el prestador auditado ponga a su disposici髇 todos los recursos necesarios a su alcance para facilitarle el acceso a los sistemas y su evaluaci髇, pudiendo citarse a modo de ejemplo la puesta a disposici髇 de la entidad auditora del personal competente del prestador para contestar preguntas o manejar los entornos de pruebas y explicar su funcionamiento, o la facilitaci髇 del acceso necesario al personal y a instalaciones tales como edificios. El acceso a los procedimientos y procesos podr韆 tambi閚 implicar, por ejemplo, dar acceso a descripciones o documentos relacionados con el proceso interno de toma de decisiones del prestador auditado. Puede que sean necesarias otras actuaciones accesorias por parte del prestador auditado para facilitar el acceso a la informaci髇 pertinente y dar as cumplimiento a sus obligaciones de cooperaci髇 y asistencia. Por ejemplo, en caso de llevarse a cabo entrevistas con el personal, puede que el prestador auditado tenga que facilitar instalaciones seguras para su desarrollo. Cuando sea necesario para la realizaci髇 de la auditor韆, los prestadores auditados deben facilitar el acceso a la informaci髇 pertinente y dar as cumplimiento a sus obligaciones de cooperaci髇 y asistencia con la entidad auditora, entre otras cosas, proporcionando acceso a los datos pertinentes relativos a sus operaciones que obren en poder de sus contratistas externos. Este podr韆 ser el caso, por ejemplo, de los resultados de las actividades de moderaci髇 de contenidos, el material did醕tico o las orientaciones utilizados por los contratistas externos que moderan los contenidos, o, en el caso de los prestadores de servicios y proveedores de soluciones inform醫icas, entre otras cosas, los algoritmos y aplicaciones utilizados en los sistemas de recomendaci髇 o publicitarios de que dispone el prestador auditado.
  • (14) A fin de dotar a las conclusiones de auditor韆 de una verdadera transparencia y establecer un formato de informe que garantice la exhaustividad y comparabilidad de los informes de auditor韆 contemplados en el art韈ulo 37, apartado 4, del Reglamento (UE) 2022/2065 y los informes de aplicaci髇 de la auditor韆 contemplados en su art韈ulo 37, apartado 6, es necesario que el presente Reglamento establezca los modelos para dichos informes, junto con el requisito de adjuntar una serie de anexos a los mismos. Aunque el nivel de informaci髇 exigido por los modelos establecidos en el presente Reglamento es alto, no debe afectar a los requisitos de publicaci髇 de informes a que se refiere el art韈ulo 42, apartados 4 y 5, del Reglamento (UE) 2022/2065.
  • (15) Al objeto de garantizar que el prestador auditado preste toda la asistencia necesaria a la entidad auditora, absteni閚dose de interferir en el desarrollo de la auditor韆, y de asegurar que la entidad auditora re鷑a todas las condiciones previas a la auditor韆 y emita el informe de auditor韆 en plazo y con la calidad necesaria para alcanzar un grado de seguridad razonable, es necesario establecer determinadas normas relativas a los procedimientos de preparaci髇 de la auditor韆. Las funciones y responsabilidades del prestador auditado y de la entidad auditora, incluidos todos los subcontratistas o las entidades colaboradoras, as como el personal encargado de la auditor韆, se deben acordar por escrito, siendo posible su inclusi髇 en las cl醬sulas contractuales. En dicho acuerdo escrito se deben fijar tambi閚 las obligaciones y compromisos objeto de auditor韆, la asignaci髇 de recursos y las normas que rijan las interacciones y los puntos de contacto entre la entidad auditora y el prestador auditado. Es necesario adjuntar la totalidad de la documentaci髇 justificativa y los contratos al informe de auditor韆, tambi閚 cuando dicha documentaci髇 revista la forma de una carta de encargo u otras cl醬sulas contractuales.
  • (16) Al objeto de ofrecer una visi髇 de conjunto completa y facilitar la rendici髇 de cuentas por parte de los prestadores auditados, el informe de auditor韆 de la entidad auditora debe incluir las conclusiones extra韉as de su valoraci髇 del cumplimiento de cada una de las obligaciones o compromisos objeto de auditor韆 por parte del prestador auditado. A finalidad de contribuir debidamente al dictamen de auditor韆, cada conclusi髇 de auditor韆 ha de sustentarse en un grado de seguridad razonable y ser 玣avorable, 玣avorable con observaciones o 玭egativa. Las conclusiones 玣avorable con observaciones no deben referirse a la evaluaci髇 del cumplimiento en s misma. A modo de ejemplo, las observaciones pueden referirse a la aportaci髇 de informaci髇 por el prestador a requerimiento de la entidad auditora o a mejoras en el mantenimiento o los controles implantados por el prestador auditado, as como registrar los planes de reducci髇 de riesgos y mejoras adicionales que el prestador pretenda llevar a cabo. En todo caso, cuando la entidad auditora considere que el prestador auditado cumple una obligaci髇 o compromiso objeto de auditor韆 con arreglo a los valores de referencia notificados por el prestador auditado, pero considere necesario incluir observaciones sobre dichos valores de referencia, la conclusi髇 de la auditor韆 debe ser 玣avorable con observaciones, ya que estas podr韆n resultar de utilidad para respaldar posibles cambios en los valores de referencia utilizados, sobre la base de los conocimientos y la experiencia de la entidad auditora, as como de informaci髇 procedente de fuentes externas. Por ejemplo, las observaciones podr韆n basarse en orientaciones de la Comisi髇, en particular las indicadas en el art韈ulo 35, apartado 3, del Reglamento (UE) 2022/2065, as como en: cualquier otra orientaci髇 emitida por la Comisi髇 en relaci髇 con la aplicaci髇 de dicho Reglamento; los informes de la Junta Europea de Servicios Digitales a que se refiere el art韈ulo 35, apartado 2, de dicho Reglamento; medidas de ejecuci髇; las decisiones adoptadas por la Comisi髇 en virtud de dicho Reglamento; la jurisprudencia pertinente, en particular del Tribunal de Justicia de la Uni髇 Europea; consultas p鷅licas; o documentos emitidos por fuentes autorizadas pertinentes.
  • (17) Al objeto de facilitar el control p鷅lico y la supervisi髇 regulatoria, cuando una conclusi髇 de auditoria sea 玭egativa, pero solo se aplique durante un tiempo determinado y la entidad auditora considere que el prestador auditado ha cumplido la obligaci髇 o compromiso durante el resto del per韔do auditado, se debe reflejar este extremo en el informe de auditor韆 para cada obligaci髇 y cada compromiso afectados. El informe debe incluir las observaciones de la entidad auditora acerca de toda informaci髇 que el prestador auditado haya puesto a su disposici髇 en relaci髇 con los planes de reducci髇 de riesgos existentes o previstos para subsanar el incumplimiento.
  • (18) Vista la distinta naturaleza de las obligaciones legales establecidas en el cap韙ulo III del Reglamento (UE) 2022/2065 y los compromisos voluntarios asumidos en virtud de los c骴igos de conducta y protocolos de crisis contemplados en los art韈ulos 45, 46 y 48 del mismo Reglamento, la entidad auditora debe emitir sendos dict醡enes de auditor韆 sobre el cumplimiento del mencionado cap韙ulo y de cada c骴igo y protocolo.
  • (19) Para que se realice la auditor韆 con un grado de seguridad razonable y se dise馿n procedimientos de auditor韆 adecuados, atendiendo a metodolog韆s que reduzcan el riesgo de auditor韆 a niveles bajos, la estimaci髇 de los riesgos de auditor韆, es decir, el riesgo de que la entidad auditora exprese una opini髇 o conclusi髇 de auditor韆 inadecuada, se configura como un elemento clave de la metodolog韆 para la realizaci髇 de la auditor韆. Es necesario, por tanto, que la entidad auditora eval鷈 el riesgo de auditor韆 en el primer momento de la auditor韆, antes de dise馻r la metodolog韆 exacta y ejecutar los procedimientos de auditor韆. El an醠isis de los riesgos de auditor韆 es necesario a fin de permitir a la entidad auditora elegir las metodolog韆s concretas para la auditor韆 y determinar el nivel de exhaustividad que los procedimientos de auditor韆 tendr醤 que alcanzar para lograr el grado de seguridad razonable exigido para el dictamen de auditor韆. La entidad auditora debe analizar los riesgos de auditor韆 en su evaluaci髇 del cumplimiento de cada obligaci髇 o compromiso objeto de auditor韆, atendiendo a los riesgos inherentes, de control y de detecci髇.
  • (20) Para que los riesgos de auditor韆 se eval鷈n de forma correcta, es preciso que en el an醠isis de dichos riesgos se tengan en cuenta la naturaleza del servicio objeto de auditor韆, en especial su perfil de riesgo, y el alcance y la complejidad de la auditor韆. Resulta probable, por ejemplo, que los riesgos inherentes de las plataformas en l韓ea que permitan la celebraci髇 de contratos a distancia entre consumidores sean distintos de los de las plataformas de distribuci髇 de v韉eos o los motores de b鷖queda. Es importante, adem醩, considerar el contexto social y econ髆ico en el que se preste el servicio objeto de auditor韆, pudiendo citarse, entre otros aspectos, los grupos t韕icos de usuarios, como, por ejemplo, los menores, o las conductas frecuentes, como, por ejemplo, una elevada incidencia de uso no aut閚tico y las actuaciones concertadas en las campa馻s de desinformaci髇. En la consideraci髇 del contexto social y econ髆ico es necesario que se atienda tambi閚 a la probabilidad y, de forma independiente, la gravedad de la exposici髇 a situaciones de crisis y acontecimientos imprevistos de acuerdo con lo dispuesto en el Reglamento (UE) 2022/2065.
  • (21) Al objeto de garantizar que el an醠isis de los riesgos de auditor韆 refleje la evoluci髇 de los riesgos a los que se encuentre expuesto el servicio, dicho an醠isis tambi閚 debe basarse en la informaci髇 procedente de las auditor韆s a las que, en su caso, haya estado sometido el prestador auditado con anterioridad, y en la informaci髇 obtenida, por ejemplo, de los informes de auditor韆 de otros prestadores con un perfil de riesgo similar. Para garantizar que el an醠isis de los riesgos de auditor韆 se sustente en las pruebas m醩 recientes de los riesgos existentes en contextos similares a aquellos en los que ejerce su actividad el prestador auditado, as como en informaci髇 procedente de fuentes fiables y directamente pertinentes a efectos de la aplicaci髇 del Reglamento (UE) 2022/2065, tambi閚 es preciso que el an醠isis se fundamente en los informes emitidos por la Junta Europea de Servicios Digitales o, en su caso, las orientaciones de la Comisi髇. Otra posible fuente de informaci髇 son los informes de auditor韆 publicados por otros prestadores de plataformas en l韓ea de muy gran tama駉 o motores de b鷖queda en l韓ea de muy gran tama駉 al amparo del art韈ulo 42, apartado 4, del Reglamento (UE) 2022/2065.
  • (22) La entidad auditora debe elaborar, sin injerencias del prestador auditado, las metodolog韆s de auditor韆 que vayan a emplearse en la evaluaci髇 del cumplimiento de las obligaciones y compromisos objeto de auditor韆. Los criterios de auditor韆 deben basarse en la informaci髇 facilitada por el prestador auditado, como la informaci髇 sobre los valores de referencia empleados por el prestador auditado en el seguimiento de su cumplimiento. La metodolog韆 tambi閚 puede tener en cuenta otra informaci髇 facilitada por el prestador auditado, como un an醠isis de riesgos inherentes efectuado por este, por ejemplo, a trav閟 de las medidas desarrolladas por el encargado del cumplimiento o el 髍gano de direcci髇 de conformidad con el art韈ulo 41 del Reglamento (UE) 2022/2065 u otras medidas incorporadas en el funcionamiento del servicio con el objeto de evaluar los riesgos sist閙icos seg鷑 lo dispuesto en el art韈ulo 34 de dicho Reglamento.
  • (23) Al objeto de garantizar que las metodolog韆s de auditor韆 se adecuen a la consecuci髇 del grado de seguridad razonable necesario para la emisi髇 de los dict醡enes de auditor韆, es necesario que la elecci髇 de la metodolog韆 para los procedimientos de auditor韆 se haga teniendo en cuenta las peculiaridades de la obligaci髇 o el compromiso objeto de auditor韆 y se ajuste, por ejemplo, a la naturaleza de la obligaci髇 objeto de auditor韆 seg鷑 se trate de una obligaci髇 de medios o de resultados que el prestador tiene que conseguir para lograr la conformidad. A modo de ejemplo, en la evaluaci髇 del cumplimiento de la obligaci髇 de transparencia informativa contemplada en el art韈ulo 15 del Reglamento (UE) 2022/2065 se podr韆n emplear procedimientos de auditor韆 que permitieran a la entidad auditora concluir si los informes se han publicado en el plazo y forma establecidos en el Reglamento, adem醩 de determinar su integridad y la exactitud, la representatividad y el desglose adecuado (por ejemplo, por categor韆 de contenido ilegal) de los datos presentados en ellos.
  • (24) La selecci髇 de metodolog韆 tambi閚 depender de la necesidad o no de que la entidad auditora efect鷈 interpretaciones contextuales para evaluar el cumplimiento. La selecci髇 de metodolog韆s tambi閚 debe adecuarse a los riesgos inherentes vinculados con las actividades realizadas en el marco de la prestaci髇 del servicio y con el contexto en el que el mismo se presta, por ejemplo, si el servicio implica la venta de mercanc韆s potencialmente il韈itas o si lo usan ante todo menores de edad. Por ejemplo, las metodolog韆s empleadas para evaluar el cumplimiento de las obligaciones contempladas en el art韈ulo 28, apartado 1, del Reglamento (UE) 2022/2065, que exige el establecimiento de medidas adecuadas y proporcionadas para garantizar un elevado nivel de privacidad, seguridad y protecci髇 de los menores, deben permitir que la entidad auditora llegue a comprender adecuadamente el uso que los menores de edad hacen del servicio auditado, los riesgos que pueden presentarse en relaci髇 con su privacidad, seguridad y protecci髇, y qu puede considerarse una medida adecuada y proporcionada en el contexto espec韋ico del servicio auditado y su uso por parte de los menores. A tal fin, las entidades auditoras deben dividir la evaluaci髇 en fases adecuadas. Deben evaluar los riesgos de auditor韆 en funci髇 del perfil de riesgo del prestador auditado, en particular si el servicio prestado est disponible para los menores de edad o si estos representan su p鷅lico principal. Tambi閚 deben examinar, por ejemplo, si el prestador ha implementado herramientas que permitan garantizar la edad, si son eficaces y c髆o eval鷄 y controla su eficacia. Otro aspecto que deben evaluar es si el prestador auditado ha adoptado medidas adecuadas para detectar el uso indebido de su servicio y patrones de comportamiento que busquen perjudicar a menores o sean susceptibles de hacerlo.
  • (25) La selecci髇 de las metodolog韆s tambi閚 debe adaptarse a los riesgos de control vinculados a las medidas de cumplimiento establecidas por el prestador auditado y a los riesgos de detecci髇, es decir, el riesgo de la no detecci髇 de incorrecciones en la informaci髇 puesta a disposici髇 de la entidad auditora por parte del prestador. A modo de ejemplo, cuando la obligaci髇 objeto de auditor韆 pueda implicar la auditor韆 de un sistema algor韙mico basado en la configuraci髇 personalizada para cada destinatario del servicio auditado y en la actualizaci髇 recurrente de tal sistema, como es el caso de las obligaciones de divulgaci髇 de informaci髇 aplicables a los sistemas de recomendaci髇 a tenor de lo dispuesto en el art韈ulo 27 del Reglamento (UE) 2022/2065, la selecci髇 de la metodolog韆 tendr que permitir a la entidad auditora dise馻r las pruebas adecuadas para minimizar los riesgos de detecci髇. Del mismo modo, cuando la entidad auditora pretenda evaluar la reducci髇 de todos los riesgos pertinentes en lo que se refiere al dise駉, el funcionamiento y el uso de aplicaciones basadas en grandes modelos de lenguaje, como funcionalidades de chat o sistemas de recomendaci髇 desplegados por el prestador auditado, deber evaluar en primer lugar la idoneidad de los controles establecidos por el prestador. La selecci髇 de pruebas debe basarse en la solidez de dichos controles internos. En ese sentido, uno de los supuestos en los que los procedimientos de auditor韆 tendr韆n que sustentarse en una combinaci髇 de metodolog韆s es la existencia de controles internos d閎iles, incompletos o insuficientes para concluir si se cumplen las normas atendiendo a la poblaci髇 de destinatarios del servicio objeto de auditor韆. Dichas metodolog韆s podr韆n incluir, por ejemplo, procedimientos anal韙icos sustantivos como el an醠isis de las interacciones entre todos los sistemas algor韙micos que intervienen en los sistemas de recomendaci髇, as como las normas y procesos de toma de decisiones conexos para el establecimiento de los principales par醡etros de dichos sistemas de recomendaci髇, u observaciones de registros y archivos digitales. Es necesario que las metodolog韆s incluyan tambi閚 pruebas de sistema tales como pruebas en entornos de simulaci髇.
  • (26) Al objeto de garantizar que la metodolog韆 sea pertinente y se adapte a las nuevas observaciones que vayan surgiendo durante la realizaci髇 de la auditor韆, la selecci髇 de las metodolog韆s debe orientarse por el juicio profesional de la entidad auditora y modificarse a fin de tener en cuenta esas nuevas observaciones, especialmente en caso de que la entidad auditora albergue dudas razonables sobre la informaci髇 remitida por el prestador auditado. El escepticismo profesional de la entidad auditora debe basarse en sus conocimientos especializados y en otras fuentes de informaci髇 de especial pertinencia para la aplicaci髇 del Reglamento (UE) 2022/2065, como los informes de la Junta Europea de Servicios Digitales, las orientaciones de la Comisi髇, los informes de auditor韆 emitidos en relaci髇 con los c骴igos de conducta y protocolos de crisis contemplados en los art韈ulos 45, 46 y 48 del mismo Reglamento, o la informaci髇 revelada durante la realizaci髇 de la auditor韆, incluida la relacionada con hechos, en particular, situaciones de crisis, que requieran actuaciones suplementarias por parte del prestador auditado para asegurar el cumplimiento de determinadas obligaciones o compromisos objeto de auditor韆.
  • (27) Para asegurar la obtenci髇 de una evidencia de auditor韆 suficiente durante el desarrollo de la auditor韆, es necesario que las entidades auditoras eval鷈n los controles internos del prestador auditado y lleven a cabo procedimientos sustantivos de auditor韆 destinados a evaluar su cumplimiento. En determinados supuestos, la entidad auditora tambi閚 tendr que efectuar pruebas.
  • (28) Debido a la complejidad de los sistemas algor韙micos empleados por los prestadores de plataformas en l韓ea y su papel importante en el cumplimiento de varias de las obligaciones contempladas en el Reglamento (UE) 2022/2065, es necesario que se preste una atenci髇 especial a la elecci髇 de las metodolog韆s necesarias y adecuadas para la auditor韆 de los sistemas algor韙micos. Esto resulta de aplicaci髇 tanto si los sistemas algor韙micos se integran en los controles implantados por el prestador auditado como si los propios sistemas algor韙micos son el objeto de las obligaciones o compromisos auditados, como en el caso de los sistemas de recomendaci髇 en virtud de los art韈ulos 27, 34, 35 y 38 del Reglamento (UE) 2022/2065, los sistemas publicitarios en virtud de sus art韈ulos 26, 28, 34, 35 y 39, los sistemas de moderaci髇 de contenidos en virtud de sus art韈ulos 14, 15, 34 y 35, o cualquier otro sistema algor韙mico que contribuya a los riesgos indicados en el art韈ulo 34 del mismo Reglamento.
  • (29) Tambi閚 es necesario emplear una combinaci髇 de distintos procedimientos anal韙icos sustantivos, bas醤dose, seg鷑 proceda, en observaciones de los procesos y actividades del prestador auditado en relaci髇 con el dise駉, desarrollo, manejo, prueba y seguimiento de los sistemas algor韙micos, o en observaciones de los registros y archivos digitales generados por los sistemas. Las metodolog韆s tienen que adaptarse a las peculiaridades de los sistemas algor韙micos, pudiendo citarse, entre otras, su gobernanza, la interacci髇 entre los diferentes sistemas algor韙micos y los correspondientes sistemas de gesti髇 de datos, y a las tecnolog韆s que sustenten dichos sistemas algor韙micos, como los modelos generativos u otros clasificadores o los algoritmos de selecci髇 o b鷖queda.
  • (30) Asimismo, las metodolog韆s de auditor韆 de los sistemas algor韙micos deben incluir pruebas para, por ejemplo, obtener informaci髇 no documentada con anterioridad por el prestador auditado o reproducir de forma independiente y evaluar los resultados de los indicadores de precisi髇, as como pruebas realizadas en entornos de pruebas o de simulaci髇 o en sistemas de producci髇, entre ellas las realizadas mediante la extracci髇 de informaci髇 (data scraping) o la emulaci髇 de adversarios (adversarial testing).
  • (31) Dado que una calidad alta de la evidencia de auditor韆 se configura como condici髇 esencial para permitir a la entidad auditora emitir un dictamen de auditor韆 con un grado de seguridad razonable, la informaci髇 elegida por la entidad auditora como evidencia de auditor韆 tiene que ser adecuada y suficiente para reducir los riesgos de auditor韆. Adem醩, la evidencia de auditor韆 tiene que ser fiable seg鷑 el juicio y el escepticismo profesionales de la entidad auditora y, cuando proceda, a la vista de fuentes de informaci髇 alternativas. El juicio y escepticismo profesionales deben incluir una valoraci髇 cr韙ica de la evidencia de auditor韆 y las posibles incorrecciones. Estos requisitos de calidad deben aplicarse a toda evidencia de auditor韆, tanto la proporcionada por el prestador auditado como la obtenida de otras fuentes.
  • (32) La entidad auditora debe considerar diversas fuentes de informaci髇, como, por ejemplo, entrevistas con el personal o los contratistas del prestador auditado, incluidos los encargados del cumplimiento, los ingenieros, los cient韋icos de datos, los arquitectos de software, o el personal que integre los equipos de auditor韆 interna. Otras posibles fuentes son la documentaci髇 t閏nica relativa al dise駉, manejo, pruebas y seguimiento de un sistema pertinente, incluida la documentaci髇 sobre calidad y gobernanza de datos, as como la relativa a las actualizaciones y versiones del sistema, adem醩 de otros documentos sobre los procesos de gobernanza y toma de decisiones del prestador auditado, atendiendo, entre otros aspectos, a las prioridades, los recursos, la asignaci髇 de funciones y responsabilidades, o los conocimientos especializados del personal pertinente.
  • (33) Para garantizar la eficiencia y proporcionalidad del desarrollo de la auditor韆, es necesario que la entidad auditora tenga la posibilidad de muestrear los datos e informaci髇, atendiendo en la debida medida a la obtenci髇 de una muestra representativa, al objeto de permitir a la entidad auditora emitir un dictamen de auditor韆 con un grado de seguridad razonable. En aras de la transparencia y reproducibilidad de los procedimientos de auditor韆, en su informe de auditor韆 la entidad auditora tendr que justificar sus decisiones relativas al tama駉 de la muestra y el m閠odo de muestreo. Por ejemplo, el tama駉 de la muestra y la metodolog韆 deben determinarse en funci髇 de su eficacia en la consecuci髇 del objetivo fijado para la auditor韆 de la obligaci髇 o el compromiso espec韋icos, y con la finalidad de minimizar el riesgo de que existan discrepancias entre la conclusi髇 extra韉a tras someter a auditar韆 la muestra concreta y la conclusi髇 que pudiera alcanzarse en caso de someter la poblaci髇 entera de evidencia al procedimiento de auditor韆. El tama駉 de la muestra y la metodolog韆 de muestreo deben determinarse atendiendo al alcance global de la auditor韆 y a los cambios internos o externos que se hayan producido en el servicio auditado durante el per韔do analizado. Tambi閚 deben adaptarse a las peculiaridades de los sistemas algor韙micos, entre ellas las relativas a la personalizaci髇 basada en la elaboraci髇 de perfiles. En ese sentido, la entidad auditora debe, por ejemplo, asegurar el muestreo adecuado de las distintas cohortes o particiones que puedan derivarse del empleo de t閏nicas de personalizaci髇, o determinar el margen de error y justificar que se encuentra en un nivel aceptable.
  • (34) Dada la novedad de algunas de las disposiciones del Reglamento (UE) 2022/2065, resulta necesario el establecimiento de principios metodol骻icos, entre otros las preguntas de auditor韆, as como otras orientaciones para la selecci髇 de las metodolog韆s de auditor韆 y la evidencia de auditor韆 a efectos de la evaluaci髇 del cumplimiento de dichas disposiciones, y m醩 concretamente de los art韈ulos 34, 35 y 36 del citado Reglamento, relativos a la realizaci髇 de evaluaciones de riesgo y la adopci髇 de medidas de reducci髇 de riesgos por los prestadores auditados y a la aplicaci髇 de las obligaciones relacionadas con la respuesta a las crisis.
  • (35) Las entidades auditoras tambi閚 han de evaluar el cumplimiento del art韈ulo 37 del Reglamento (UE) 2022/2065 por parte del prestador auditado, por lo que resulta igualmente necesario especificar de forma m醩 concreta la auditor韆 espec韋ica con respecto a la cual debe evaluarse el cumplimiento, al objeto, en particular, de evitar todo conflicto de intereses para la entidad auditora.
  • (36) Dado el car醕ter facultativo de los c骴igos de conducta y protocolos de crisis, es necesario establecer normas espec韋icas para la auditor韆 del cumplimiento de los art韈ulos 45, 46 y 48 del Reglamento (UE) 2022/2065, al objeto, en particular, de garantizar que las entidades auditoras dispongan de toda la informaci髇 necesaria para realizar las auditor韆s espec韋icas de los compromisos asumidos en virtud de cada c骴igo de conducta y protocolo de crisis.

HA ADOPTADO EL PRESENTE REGLAMENTO:

SECCI覰 I
Disposiciones generales

Art韈ulo 1 Objeto

El presente Reglamento establece las normas aplicables a la realizaci髇 de las auditor韆s contempladas en el art韈ulo 37 del Reglamento (UE) 2022/2065, en lo relativo a:

  • a) las fases procedimentales para asegurar que la entidad auditora que se elija re鷑a las condiciones del art韈ulo 37, apartado 3, del Reglamento (UE) 2022/2065;
  • b) las fases procedimentales a efectos de la cooperaci髇 y asistencia por parte del prestador auditado en la realizaci髇 de las auditor韆s, incluido el acceso a la informaci髇 pertinente con la finalidad de obtener evidencia de auditor韆;
  • c) la definici髇 y selecci髇 de las metodolog韆s de auditor韆;
  • d) los modelos de informe de auditor韆 e informe de aplicaci髇 de la auditor韆.

Art韈ulo 2 Definiciones

A efectos del presente Reglamento, se entender por:

  • 1) 玡ntidad auditora: una entidad individual, o un consorcio u otra agrupaci髇 de entidades, y, en su caso, sus subcontratistas, contratada por el prestador auditado para la realizaci髇 de una auditor韆 independiente de conformidad con el art韈ulo 37 del Reglamento (UE) 2022/2065;
  • 2) 玸ervicio auditado: una plataforma en l韓ea de muy gran tama駉 o un motor de b鷖queda en l韓ea de muy gran tama駉, designados como tales de conformidad con el art韈ulo 33 del Reglamento (UE) 2022/2065;
  • 3) 玴restador auditado: el prestador de un servicio auditado sujeto a auditor韆s independientes en virtud del art韈ulo 37, apartado 1, del citado Reglamento;
  • 4) 玱bligaci髇 o compromiso objeto de auditor韆: una obligaci髇 o un compromiso a que se refiere el art韈ulo 37, apartado 1, del Reglamento (UE) 2022/2065 que constituya el objeto de la auditor韆;
  • 5) 玞riterios de auditor韆: los criterios empleados por la entidad auditora para evaluar el cumplimiento de cada obligaci髇 o compromiso objeto de auditor韆;
  • 6) 玡videncia de auditor韆: toda aquella informaci髇 empleada por una entidad auditora para sustentar sus observaciones y conclusiones de auditor韆 y emitir un dictamen de auditor韆, incluidos los datos procedentes de documentos, bases de datos o sistemas inform醫icos, entrevistas o la realizaci髇 de pruebas;
  • 7) 玦ncorrecci髇: toda omisi髇, distorsi髇 o error, ya sea deliberado o no, en las declaraciones o en los datos comunicados o suministrados a la entidad auditora por parte del prestador auditado, o en el entorno de pruebas puesto a disposici髇 de la entidad auditora por parte del prestador auditado;
  • 8) 玶iesgo de auditor韆: el riesgo de que la entidad auditora emita un dictamen de auditor韆 incorrecto o extraiga una conclusi髇 incorrecta sobre el cumplimiento de una obligaci髇 o un compromiso objeto de auditor韆 por parte del prestador auditado, atendiendo a los riesgos de detecci髇, riesgos inherentes y riesgos de control relacionados con dicha obligaci髇 o dicho compromiso objeto de auditor韆;
  • 9) 玶iesgo de detecci髇: el riesgo de que la entidad auditora no detecte una incorrecci髇 que tenga pertinencia a efectos de la evaluaci髇 del cumplimiento de una obligaci髇 o de un compromiso objeto de auditor韆 por parte del prestador auditado;
  • 10) 玶iesgo inherente: el riesgo de incumplimiento intr韓secamente vinculado a la naturaleza, el dise駉, la actividad y el uso del servicio auditado, as como al contexto en el que se desarrolla, y el riesgo de incumplimiento vinculado a la naturaleza de la obligaci髇 o compromiso objeto de auditor韆;
  • 11) 玶iesgo de control: el riesgo de que una incorrecci髇 no sea prevenida, detectada y corregida oportunamente por los controles internos del prestador auditado;
  • 12) 玼mbral de importancia relativa: el umbral a partir del cual las desviaciones o incorrecciones del prestador auditado, consideradas de forma individual o de forma agregada, afectar韆n razonablemente a las observaciones, conclusiones y dict醡enes de la auditor韆;
  • 13) 玤rado de seguridad razonable: un grado de seguridad alto, aunque no absoluto, que permite a la entidad auditora determinar en su dictamen de auditor韆 y en sus conclusiones de auditor韆 si el prestador auditado cumple o no las obligaciones o compromisos objeto de auditor韆, sobre la base de una evidencia suficiente y adecuada;
  • 14) 玞ontrol interno: todas aquellas actuaciones, incluidos los procesos y las pruebas, dise馻das, implementadas y mantenidas por el prestador auditado, en particular, por sus encargados del cumplimiento y su 髍gano de direcci髇, para el seguimiento y la garant韆 de su cumplimiento de la obligaci髇 o del compromiso objeto de auditor韆;
  • 15) 玦nvestigador autorizado: un investigador autorizado seg鷑 lo establecido en el art韈ulo 40, apartado 8, del Reglamento (UE) 2022/2065;
  • 16) 玴rocedimiento de auditor韆: toda t閏nica aplicada por la entidad auditora al llevar a cabo la auditor韆, entre otras, la obtenci髇 de datos, la selecci髇 y aplicaci髇 de metodolog韆s, tales como pruebas y procedimientos anal韙icos sustantivos, y cualquier otra actuaci髇 realizada al objeto de recopilar y analizar informaci髇 con la finalidad de obtener evidencia de auditor韆 y formular conclusiones de auditor韆, excluida la emisi髇 de dict醡enes e informes de auditor韆;
  • 17) 玴rueba: una metodolog韆 de auditor韆 que consiste en mediciones, experimentos u otras verificaciones, incluidas las de sistemas algor韙micos, empleada por la entidad auditora para evaluar el cumplimiento de la obligaci髇 o compromiso objeto de auditor韆 por parte del prestador auditado;
  • 18) 玴rocedimiento anal韙ico sustantivo: una metodolog韆 de auditor韆 utilizada por la entidad auditora para evaluar la informaci髇 al objeto de inferir los riesgos de auditor韆 o el cumplimiento de la obligaci髇 o compromiso objeto de auditor韆.

Art韈ulo 3 Alcance de la auditor韆 y grado de seguridad razonable

1. La forma y la duraci髇 de la auditor韆 ser醤 las adecuadas para permitir a la entidad auditora evaluar el cumplimiento por parte del prestador auditado de todas las obligaciones y compromisos objeto de auditor韆 con un grado de seguridad razonable.

2. La auditor韆 cubrir un per韔do que comience inmediatamente despu閟 del cierre del per韔do de la auditor韆 anterior y finalice en una fecha que permita a la entidad auditora realizarla en el plazo exigido por el art韈ulo 37, apartado 1, del Reglamento (UE) 2022/2065, lo que implica llevar a cabo su evaluaci髇 conforme a lo dispuesto en dicho apartado sobre la base de la informaci髇 obtenida y de los procedimientos de auditor韆 llevados a cabo durante dicho per韔do, as como completar el informe de auditor韆 y remitirlo al prestador auditado con arreglo al art韈ulo 37, apartado 4, de dicho Reglamento.

3. Cuando no se haya realizado ninguna auditor韆 con anterioridad, el per韔do cubierto por la auditor韆 comenzar transcurridos cuatro meses a contar desde la notificaci髇 contemplada en art韈ulo 33, apartado 6, p醨rafo primero, del Reglamento (UE) 2022/2065, y su duraci髇 permitir finalizar el informe de auditor韆 de conformidad con el art韈ulo 6, apartado 1, del presente acto delegado en un plazo m醲imo de un a駉 a partir del inicio del per韔do auditado.

SECCI覰 II
Condiciones aplicables a la realizaci髇 de la auditor韆

Art韈ulo 4 Elecci髇 de la entidad auditora

1. De forma previa a la elecci髇 de una entidad auditora para la realizaci髇 de la auditor韆, el prestador auditado comprobar si la entidad que vaya a elegir re鷑e los requisitos establecidos en el art韈ulo 37, apartado 3, del Reglamento (UE) 2022/2065.

2. Cuando la entidad auditora que se vaya a elegir est integrada por m醩 de una persona jur韉ica o tenga la intenci髇 de recurrir a uno o varios subcontratistas, el prestador auditado verificar que todas las personas jur韉icas o todos los subcontratistas:

Art韈ulo 5 Cooperaci髇 y asistencia entre el prestador auditado y la entidad auditora

1. En el momento acordado con la entidad auditora, y, en todo caso, de forma previa a la ejecuci髇 de cualquier procedimiento de auditor韆, el prestador auditado transmitir a la entidad auditora elegida al menos la informaci髇 siguiente:

  • a) una descripci髇 de los controles internos implantados con respecto a cada obligaci髇 y compromiso objeto de auditor韆, con los indicadores correspondientes y todas las medidas actuales e hist髍icas, adem醩 de los valores de referencia empleados para afirmar o hacer el seguimiento de su cumplimiento de las obligaciones y compromisos objeto de auditor韆, as como, en su caso, la documentaci髇 justificativa;
  • b) su an醠isis preliminar de los riesgos inherentes y de control, cuando haya realizado dicho an醠isis, y, en su caso, la documentaci髇 justificativa;
  • c) informaci髇 sobre las estructuras de toma de decisiones pertinentes, las competencias de los diferentes departamentos del prestador -en particular en lo que respecta a la funci髇 de comprobaci髇 del cumplimiento con arreglo al art韈ulo 41 del Reglamento (UE) 2022/2065-, los sistemas inform醫icos pertinentes y las fuentes, el tratamiento y el almacenamiento de los datos, as como explicaciones sobre los sistemas algor韙micos pertinentes y sus interacciones.

2. Sin demora injustificada, el prestador auditado facilitar a la entidad auditora el acceso a todos los datos precisos para la realizaci髇 de la auditor韆, incluidos los datos personales, la documentaci髇 y la informaci髇 sobre procedimientos y procesos, y a los sistemas inform醫icos, los entornos de pruebas, su personal e instalaciones y, en su caso, los subcontratistas pertinentes.

3. El prestador auditado pondr a disposici髇 de la entidad auditora todos los recursos necesarios y le facilitar la asistencia y las explicaciones necesarias para que pueda analizar la informaci髇 pertinente y llevar a cabo las pruebas, en particular cuando la informaci髇 solicitada por la entidad auditora de conformidad con el art韈ulo 37, apartado 3, del Reglamento (UE) 2022/2065 est en poder de un tercero contratado por el prestador auditado.

SECCI覰 III
Realizaci髇 de las auditor韆s

Art韈ulo 6 Informe de auditor韆 e informe de aplicaci髇 de la auditor韆

1. La entidad auditora emitir el informe de auditor韆 contemplado en el art韈ulo 37, apartado 4, del Reglamento (UE) 2022/2065, sin interferencia por parte del prestador auditado. Dicho informe se elaborar de acuerdo con el modelo del anexo I y contendr conclusiones detalladas y fundamentadas al respecto de todos los elementos que integran en modelo.

2. En su caso, se redactar el informe de aplicaci髇 de la auditor韆 a que se refiere el art韈ulo 37, apartado 6, del Reglamento (UE) 2022/2065 de acuerdo con el modelo del anexo II.

Art韈ulo 7 Procedimientos de preparaci髇 de la auditor韆

1. El prestador auditado y la entidad auditora celebrar醤 un acuerdo por escrito en el que figurar醤:

  • a) la relaci髇 exhaustiva de las obligaciones y los compromisos objeto de auditor韆;
  • b) las responsabilidades de la entidad auditora, desglosadas, en su caso, por las personas jur韉icas que la integren, y las partes facultadas para la firma del informe de auditor韆;
  • c) los procedimientos y puntos de contacto facilitados por el prestador auditado para que la entidad auditora pueda solicitar el acceso a los datos a que se refiere el art韈ulo 5, apartado 2;
  • d) el calendario de la auditor韆, con las fechas de inicio y fin de los procedimientos de auditor韆 y la fecha de finalizaci髇 del informe de auditor韆;
  • e) un procedimiento para la resoluci髇 de las controversias derivadas de la realizaci髇 de la auditor韆 que surjan entre el prestador auditado y la entidad auditora.

2. Se adjuntar醤 al informe de auditor韆 el acuerdo contemplado en el apartado 1 y cualquier otro acuerdo o carta de encargo entre la entidad auditora y el prestador auditado en relaci髇 con la auditor韆.

3. En el supuesto de realizarse modificaciones del acuerdo indicado en el apartado 1 durante la realizaci髇 de la auditor韆, estas se explicitar醤 en el informe de auditor韆.

Art韈ulo 8 Dictamen de auditor韆, conclusiones de auditor韆 y recomendaciones

1. El informe de auditor韆 incluir las conclusiones de auditor韆 que la entidad auditora haya extra韉o sobre el cumplimiento de cada obligaci髇 y cada compromiso objeto de auditor韆 por parte del prestador auditado. Una conclusi髇 de auditor韆 ser:

  • a) 玣avorable cuando la entidad auditora concluya, con un grado de seguridad razonable, que el prestador auditado ha cumplido la obligaci髇 o el compromiso objeto de auditor韆;
  • b) 玣avorable con observaciones cuando la entidad auditora concluya, con un grado de seguridad razonable, que el prestador auditado ha cumplido la obligaci髇 o el compromiso objeto de auditor韆, pero:
    • i) la entidad auditora formula observaciones acerca de los valores de referencia facilitados por el prestador auditado con arreglo al art韈ulo 5, apartado 1, letra a); o bien
    • ii) la entidad auditora recomiende mejoras que no afecten al fondo de su conclusi髇;
  • c) 玭egativa cuando la entidad auditora concluya, con un grado de seguridad razonable, que el prestador auditado no ha cumplido la obligaci髇 o el compromiso objeto de auditor韆.

2. Cuando un informe de auditor韆 incluya recomendaciones operativas a tenor de lo dispuesto en el art韈ulo 37, apartado 4, letra h), del Reglamento (UE) 2022/2065, dichas recomendaciones y el calendario recomendado de su aplicaci髇 se indicar醤 de forma individual para cada obligaci髇 o compromiso objeto de auditor韆 respecto al cual se haya alcanzado una conclusi髇 de auditor韆 玣avorable con observaciones o 玭egativa seg鷑 lo indicado en el apartado 1.

3. Cuando las recomendaciones operativas a que se refiere el apartado 2 incluyan medidas espec韋icas destinadas a lograr el cumplimiento, en la redacci髇 de su recomendaci髇 la entidad auditora explicar su valoraci髇 de los efectos de dichas medidas en el umbral de importancia relativa en comparaci髇 con la conclusi髇 de auditor韆 alcanzada respecto a la obligaci髇 o al compromiso objeto de auditor韆 de que se trate.

4. Con base en las conclusiones de auditor韆, en el informe de auditor韆 se incluir un dictamen de auditor韆 sobre el cumplimiento por parte del prestador auditado de todas las obligaciones del art韈ulo 37, apartado 1, letra a), del Reglamento (UE) 2022/2065 que hayan sido objeto de auditor韆.

5. Con base en las conclusiones relativas a todos los compromisos objeto de auditor韆, el informe de auditor韆 incluir, seg鷑 proceda, uno o varios dict醡enes de auditor韆 sobre el cumplimiento por parte del prestador auditado de todos los compromisos asumidos en virtud de cada uno de los c骴igos de conducta y protocolos de crisis a que se refiere el art韈ulo 37, apartado 1, letra b), del Reglamento (UE) 2022/2065 que hayan sido objeto de auditor韆.

6. El dictamen de auditor韆 emitido en virtud de los apartados 4 y 5 ser:

  • a) 玣avorable en caso de que la entidad auditora haya alcanzado una conclusi髇 de auditor韆 玣avorable con respecto a la totalidad de las obligaciones y compromisos objeto de auditor韆;
  • b) 玣avorable con observaciones en caso de que la entidad auditora haya alcanzado una conclusi髇 de auditor韆 玣avorable con observaciones con respecto a, al menos, una de las obligaciones o uno de los compromisos objeto de auditor韆, sin que se haya alcanzado una conclusi髇 de auditor韆 玭egativa respecto a ninguna de las obligaciones o compromisos objeto de auditor韆;
  • c) 玭egativo en caso de que la entidad auditora haya alcanzado una conclusi髇 玭egativa con respecto a, al menos, una de las obligaciones o uno de los compromisos objeto de auditor韆.

7. Cuando la entidad auditora estime que el prestador auditado no ha cumplido la obligaci髇 o el compromiso objeto de auditor韆 por un tiempo determinado durante el per韔do indicado en el art韈ulo 3, apartado 2, se dejar debida constancia de ello en el informe de auditor韆.

8. Cuando la entidad auditora no se halle en condiciones de emitir, con un grado de seguridad razonable, una conclusi髇 de auditor韆 conforme al apartado 1 o un dictamen de auditor韆 conforme a los apartados 4 y 5, en el informe de auditor韆 se incorporar la explicaci髇 de las circunstancias y causas por las que no se haya podido lograr dicho grado de seguridad.

SECCI覰 IV
Metodolog韆s de auditor韆

Art韈ulo 9 An醠isis de los riesgos de auditor韆

1. En el informe de auditor韆 se incluir un an醠isis justificado de los riesgos de auditor韆, efectuado por la entidad auditora al objeto de evaluar el cumplimiento por parte del prestador auditado de cada obligaci髇 o compromiso objeto de auditor韆.

2. El an醠isis de los riesgos de auditor韆 se efectuar de forma previa a la realizaci髇 de los procedimientos de auditor韆 y se actualizar durante el desarrollo de la auditor韆 a la luz de toda nueva evidencia de auditor韆 que, a juicio profesional de la entidad auditora, suponga una modificaci髇 de importancia relativa en la evaluaci髇 del riesgo de auditor韆.

3. En el an醠isis de los riesgos de auditor韆 se tendr醤 en cuenta:

  • a) los riesgos inherentes;
  • b) los riesgos de control;
  • c) los riesgos de detecci髇.

4. En el an醠isis de los riesgos de auditor韆 se tendr en cuenta:

  • a) la naturaleza del servicio auditado y el contexto social y econ髆ico en que se preste el servicio auditado, atendiendo tambi閚 a la probabilidad y gravedad de la exposici髇 a situaciones de crisis y acontecimientos imprevistos;
  • b) la naturaleza de las obligaciones y los compromisos;
  • c) otra informaci髇 pertinente, en particular:
    • i) en su caso, informaci髇 procedente de auditor韆s anteriores a las que se haya sometido el servicio auditado;
    • ii) en su caso, informaci髇 procedente de los informes emitidos por la Junta Europea de Servicios Digitales o de orientaciones la Comisi髇, en particular las emitidas en aplicaci髇 del art韈ulo 35, apartados 2 y 3, del Reglamento (UE) 2022/2065, as como de cualquier otra orientaci髇 pertinente emitida por la Comisi髇 con respecto a la aplicaci髇 del Reglamento (UE) 2022/2065;
    • iii) en su caso, informaci髇 procedente de los informes de auditor韆 publicados al amparo del art韈ulo 42, apartado 4, del Reglamento (UE) 2022/2065 por otros prestadores de plataformas en l韓ea de muy gran tama駉 o de motores de b鷖queda en l韓ea de muy gran tama駉 que desarrollen sus actividades en condiciones similares o presten servicios similares al servicio auditado.

Art韈ulo 10 Metodolog韆s de auditor韆 adecuadas

1. Sin perjuicio de las metodolog韆s de auditor韆 espec韋icas contempladas en los art韈ulos 13, 14, y 15, las auditor韆s se llevar醤 a cabo empleando metodolog韆s de auditor韆 adecuadas para reducir los riesgos de auditor韆 evaluados a un nivel que permita a la entidad auditora alcanzar las conclusiones de auditor韆 con un grado de seguridad razonable.

2. En el informe de auditor韆 se incluir una descripci髇 de las metodolog韆s de auditor韆 dise馻das por la entidad auditora de forma previa a la ejecuci髇 de cualquier procedimiento de auditor韆, con el siguiente contenido m韓imo:

  • a) los criterios de auditor韆 para la evaluaci髇 del cumplimiento de cada obligaci髇 o compromiso objeto de auditor韆, definidos con base en la informaci髇 indicada en el art韈ulo 5, apartado 1, letra a), y el umbral de importancia relativa tolerado, expresado en t閞minos cualitativos o cuantitativos, seg鷑 proceda;
  • b) todas las pruebas, procedimientos anal韙icos sustantivos y evidencia de auditor韆 que la entidad auditora pretenda emplear en su evaluaci髇 del cumplimiento de cada obligaci髇 o compromiso objeto de auditor韆.

En el informe de auditor韆 se incluir una descripci髇 de las modificaciones que se hayan producido en las metodolog韆s empleadas durante el desarrollo de la auditor韆 respecto a las metodolog韆s dise馻das de forma previa a la realizaci髇 de los procedimientos de auditor韆.

3. Cuando una entidad auditora albergue dudas razonables sobre la informaci髇 evaluada durante la auditor韆, en particular, la informaci髇 presentada por el prestador auditado, se adaptar醤 la elecci髇 y aplicaci髇 de la metodolog韆 para proporcionar a la entidad la evidencia de auditor韆 necesaria a tenor del art韈ulo 11.

4. En particular, se considerar que se plantean las dudas razonables a que se refiere el apartado 3 cuando se d cualquiera de los elementos siguientes:

  • a) juicio y escepticismo profesionales en la evaluaci髇 de la informaci髇, en particular la informaci髇 sobre los controles internos del prestador auditado que induzca a la entidad auditora a albergar dudas razonables;
  • b) indicios externos que apunten a riesgos de auditor韆, en particular, los informes de la Junta Europea de Servicios Digitales contemplados en el art韈ulo 35, apartado 2, del Reglamento (UE) 2022/2065, las orientaciones de la Comisi髇, en particular las indicadas en su art韈ulo 35, apartado 3, as como cualquier otra orientaci髇 pertinente emitida por la Comisi髇 en relaci髇 con la aplicaci髇 del Reglamento (UE) 2022/2065 y los informes de auditor韆 emitidos en virtud de los c骴igos de conducta o protocolos de crisis a que se refieren los art韈ulos 45, 46 y 48 del citado Reglamento;
  • c) informaci髇 relacionada con hechos acaecidos durante la auditor韆, incluidas las situaciones de crisis, que requieran actuaciones suplementarias por parte del prestador auditado para asegurar el cumplimiento de determinadas obligaciones o compromisos objeto de auditor韆.

5. Entre los procedimientos de auditor韆 figurar醤 al menos:

  • a) la realizaci髇 de pruebas y procedimientos anal韙icos sustantivos en relaci髇 con los controles internos implantados por el prestador auditado con respecto a cada obligaci髇 y cada compromiso objeto de auditor韆;
  • b) la realizaci髇 de procedimientos anal韙icos sustantivos al objeto de evaluar el cumplimiento de cada obligaci髇 y compromiso objeto de auditor韆, tambi閚 con respecto a los sistemas algor韙micos;
  • c) la realizaci髇 de pruebas, tambi閚 con respecto a los sistemas algor韙micos, en relaci髇 con las obligaciones y los compromisos objeto de auditor韆 sobre los que la entidad auditora albergue dudas razonables, tal y como se indica en el apartado 4, y en relaci髇 con las obligaciones y los compromisos objeto de auditor韆 respecto a los cuales la entidad auditora estime necesario efectuar pruebas seg鷑 la metodolog韆 de su elecci髇 en virtud del apartado 1.

6. Cuando las obligaciones o compromisos a que se refiere el art韈ulo 37, apartado 1, del Reglamento (UE) 2022/2065 exijan que el prestador auditado haga p鷅lica determinada informaci髇, las metodolog韆s de auditor韆 evaluar醤 si la informaci髇 comunicada est exenta de errores materiales u omisiones que, de constatarse, podr韆n hacer que esta resultara enga駉sa.

Art韈ulo 11 Calidad de la evidencia de auditor韆

Las conclusiones y los dict醡enes de auditor韆 se basar醤 en una evidencia de auditor韆 que re鷑a los dos requisitos que se indican a continuaci髇:

  • a) que sea pertinente y suficiente para reducir los riesgos de auditor韆 detectados de acuerdo con el art韈ulo 9 y para permitir a la entidad auditora emitir conclusiones y dict醡enes de auditor韆 de acuerdo con el art韈ulo 8;
  • b) que sea fiable seg鷑 el juicio y escepticismo profesionales de la entidad auditora.

Art韈ulo 12 M閠odos de muestreo

1. Cuando la evidencia de auditor韆 se base, parcial o 韓tegramente, en una muestra de datos o informaci髇, el tama駉 de la muestra y la metodolog韆 de muestreo se determinar醤 procurando minimizar el riesgo de detecci髇 y sin interferencia por parte del prestador auditado.

2. El tama駉 de la muestra y la metodolog韆 de muestreo se determinar醤 de tal forma que se asegure la representatividad de los datos o la informaci髇 y, seg鷑 proceda, atendiendo a todos los aspectos siguientes:

  • a) la representatividad de la muestra respecto al per韔do indicado en el art韈ulo 3, apartados 2 y 3;
  • b) los cambios pertinentes en el servicio auditado durante dicho per韔do;
  • c) los cambios pertinentes en el contexto en que se presta el servicio auditado durante dicho per韔do;
  • d) las funciones pertinentes de los sistemas algor韙micos, como la personalizaci髇 basada en la elaboraci髇 de perfiles u otros criterios, en su caso;
  • e) otras caracter韘ticas pertinentes o particiones de los datos, informaci髇 y evidencia objeto de examen;
  • f) seg鷑 proceda, la representaci髇 y el an醠isis adecuado de las preocupaciones relacionadas con grupos concretos, como los menores o los grupos y minor韆s vulnerables, en relaci髇 con la obligaci髇 o el compromiso auditados.

3. El tama駉 de la muestra y la metodolog韆 de muestreo se justificar醤 en el informe de auditor韆.

Art韈ulo 13 Metodolog韆s espec韋icas para la auditor韆 del cumplimiento del art韈ulo 34, sobre la evaluaci髇 de riesgos, del Reglamento (UE) 2022/2065

1. En la evaluaci髇 del cumplimiento del art韈ulo 34 del Reglamento (UE) 2022/2065 por parte del prestador auditado se analizar醤, entre otros aspectos, los siguientes:

  • a) si el prestador auditado ha detectado, analizado y evaluado con diligencia los riesgos sist閙icos en la Uni髇 a los que se refiere el art韈ulo 34, apartado 1, p醨rafo primero, del Reglamento (UE) 2022/2065, evaluando, entre otros aspectos:
    • i) c髆o el prestador auditado ha detectado los riesgos vinculados a su servicio, atendiendo a los aspectos regionales y lingsticos del uso que se d a su servicio, incluso cuando sean espec韋icos de un Estado miembro, y si los riesgos se han detectado de forma adecuada;
    • ii) c髆o el prestador auditado ha analizado y evaluado cada riesgo y considerado la probabilidad y gravedad de los riesgos, y si su evaluaci髇 es adecuada;
    • iii) c髆o el prestador auditado ha determinado, analizado y evaluado los factores contemplados en el art韈ulo 34, apartado 2, p醨rafo primero, del Reglamento (UE) 2022/2065, si los ha determinado de forma adecuada y en qu medida dichos factores inciden en los riesgos se馻lados en el apartado 1 de dicho art韈ulo;
    • iv) qu fuentes de informaci髇 ha utilizado el prestador auditado, c髆o ha obtenido la informaci髇, y si, y en su caso c髆o, ha basado su an醠isis en conocimientos cient韋icos y t閏nicos;
    • v) si, y en su caso c髆o, el prestador auditado ha probado sus hip髏esis sobre los riesgos con los grupos m醩 afectados por los riesgos espec韋icos;
  • b) si la evaluaci髇 de riesgos se ha hecho en los plazos contemplados en el art韈ulo 34, apartado 1, p醨rafo segundo, del Reglamento (UE) 2022/2065 y, en su caso, en los plazos indicados para las actividades configuradas como medidas de reducci髇 de riesgos para la detecci髇 de riesgos sist閙icos con arreglo al art韈ulo 35, apartado 1, letra f) del citado Reglamento;
  • c) c髆o el prestador auditado ha detectado las funcionalidades susceptibles de tener un impacto cr韙ico en los riesgos y que, por lo tanto, deben ser objeto de evaluaciones de riesgos antes de su implantaci髇 con arreglo al art韈ulo 34, apartado 1, p醨rafo segundo, del Reglamento (UE) 2022/2065, si dichas funcionalidades se han detectado correctamente y si la evaluaci髇 de riesgos se ha llevado a cabo de forma adecuada;
  • d) si el prestador auditado ha determinado correctamente la documentaci髇 justificativa de la evaluaci髇 de riesgos que debe conservar, si cuenta con los medios necesarios para asegurar la conservaci髇 de dicha documentaci髇 durante al menos tres a駉s, de acuerdo con el art韈ulo 34, apartado 3, del Reglamento (UE) 2022/2065, y si dicha documentaci髇 se encuentra debidamente conservada.

2. Sin perjuicio de cuantos otros an醠isis sean precisos para alcanzar un grado de seguridad razonable, las metodolog韆s de auditor韆 del cumplimiento del art韈ulo 34 del Reglamento (UE) 2022/2065 incluir醤 la evaluaci髇 por parte de la entidad auditora de, al menos, los elementos que se indican a continuaci髇:

  • a) los controles internos implantados por el prestador auditado al objeto de controlar que se lleven a cabo las evaluaciones de riesgos para cada uno de los factores indicados en el art韈ulo 34, apartado 2, p醨rafo primero, del Reglamento (UE) 2022/2065; esta evaluaci髇:
    • i) se fundamentar en procedimientos anal韙icos sustantivos relativos a dichos controles internos;
    • ii) se basar en pruebas encaminadas a determinar la fiabilidad de dichos controles internos y la diligencia empleada en su dise駉, ejecuci髇 y seguimiento;
    • iii) verificar el desempe駉 del encargado o de los encargados del cumplimiento con arreglo al art韈ulo 41, apartado 3, letras b), d), e) y, en su caso, f), del Reglamento (UE) 2022/2065, y la participaci髇 del 髍gano de direcci髇 del prestador auditado en la toma de decisiones relacionadas con la gesti髇 de riesgos conforme al art韈ulo 41, apartados 6 y 7, del mismo Reglamento;
  • b) las actuaciones, los recursos y los procesos implantados por el prestador auditado para asegurar el cumplimiento del art韈ulo 34 del Reglamento (UE) 2022/2065 y sus resultados; esta evaluaci髇 se basar en:
    • i) procedimientos anal韙icos sustantivos;
    • ii) pruebas, incluidas pruebas de los sistemas algor韙micos, en caso de que la entidad auditora albergue dudas razonables, a la luz de los resultados de los procedimientos anal韙icos sustantivos y la evaluaci髇 de los controles internos, o estime necesario realizar pruebas seg鷑 la metodolog韆 de su elecci髇 en virtud del art韈ulo 10, apartado 1.

3. La entidad auditora sustentar la evaluaci髇 realizada de acuerdo con el presente art韈ulo en el an醠isis, entre otros datos, de la informaci髇 que se cita a continuaci髇:

  • a) el informe de evaluaci髇 de riesgos correspondiente al per韔do auditado, elaborado por el prestador auditado, junto con la informaci髇 confidencial que, en su caso, se haya omitido de la informaci髇 publicada con arreglo al art韈ulo 42, apartado 2, de dicho Reglamento, y toda la documentaci髇 justificativa;
  • b) cuando proceda, los otros informes de evaluaci髇 de riesgos del prestador auditado y la correspondiente documentaci髇 justificativa;
  • c) la informaci髇 remitida por el prestador auditado con arreglo al art韈ulo 5;
  • d) todos los informes de transparencia pertinentes del prestador auditado a que se refiere el art韈ulo 15, apartado 1, del Reglamento (UE) 2022/2065;
  • e) otros resultados de pruebas, documentaci髇, evidencia, declaraciones en respuesta a preguntas formuladas por escrito o de forma oral al personal del prestador auditado por parte de la entidad auditora y, en su caso, observaciones realizadas en las instalaciones;
  • f) otras evidencias pertinentes, incluidas las basadas en informaci髇 facilitada por el prestador auditado;
  • g) cuando est閚 disponibles, los informes contemplados en el art韈ulo 35, apartado 2, del Reglamento (UE) 2022/2065, las orientaciones de la Comisi髇, en particular las emitidas con arreglo al art韈ulo 35, apartado 3, de dicho Reglamento y cualquier otra orientaci髇 emitida por la Comisi髇 en relaci髇 con la aplicaci髇 del Reglamento (UE) 2022/2065.

4. La informaci髇 analizada por la entidad auditora podr comprender, seg鷑 proceda, la informaci髇 contemplada en el art韈ulo 42, apartado 4, del Reglamento (UE) 2022/2065, incluida la procedente de informes de auditor韆, de evaluaci髇 de riesgos y de reducci髇 de riesgos relativos a otras plataformas en l韓ea de muy gran tama駉 o motores de b鷖queda en l韓ea de muy gran tama駉, o datos e investigaciones publicados por investigadores autorizados con arreglo al art韈ulo 40, apartado 8, letra g), de dicho Reglamento.

Art韈ulo 14 Metodolog韆s espec韋icas para la auditor韆 del cumplimiento del art韈ulo 35, sobre la reducci髇 de riesgos, del Reglamento (UE) 2022/2065

1. En la evaluaci髇 del cumplimiento del art韈ulo 35 del Reglamento (UE) 2022/2065 por parte del prestador auditado se analizar醤, entre otros aspectos, los siguientes:

  • a) c髆o el prestador auditado ha determinado las medidas de reducci髇 de riesgos para cada uno de los riesgos sist閙icos indicados en el art韈ulo 34, apartado 1, del Reglamento (UE) 2022/2065 y si tales medidas de reducci髇 de riesgos se han determinado con diligencia;
  • b) c髆o el prestador auditado ha evaluado la aplicabilidad al servicio auditado de las medidas de reducci髇 de riesgos previstas en el art韈ulo 35, apartado 1, letras a) a k), del Reglamento (UE) 2022/2065 y si la conclusi髇 de dicha evaluaci髇 es adecuada, tambi閚 con respecto a las medidas no aplicadas por el prestador auditado;
  • c) si las medidas de reducci髇 de riesgos aplicadas por el prestador auditado son razonables, proporcionadas y eficaces para mitigar los diferentes riesgos, en particular mediante lo siguiente:
    • i) evaluando si, en su conjunto, responden a todos los riesgos, prestando particular atenci髇 a los riesgos relacionados con el ejercicio de derechos fundamentes;
    • ii) comparando c髆o se abordaron los riesgos antes y despu閟 de la aplicaci髇 de las medidas espec韋icas de reducci髇 de riesgos;
    • iii) valorando si las medidas de reducci髇 de riesgos se dise馻ron y ejecutaron adecuadamente.

2. Sin perjuicio de cuantos otros an醠isis sean precisos para alcanzar un grado de seguridad razonable, las metodolog韆s de auditor韆 del cumplimiento del art韈ulo 35 del Reglamento (UE) 2022/2065 incluir醤 la evaluaci髇 por parte de la entidad auditora de, al menos, los elementos que se indican a continuaci髇:

  • a) los controles internos implantados por el prestador auditado para el seguimiento de la aplicaci髇 de las medidas de reducci髇 de riesgos contempladas en el art韈ulo 35, apartado 1, del Reglamento (UE) 2022/2065, y si son razonables, proporcionadas y efectivas; esta evaluaci髇:
    • i) se fundamentar en procedimientos anal韙icos sustantivos relativos a dichos controles internos;
    • ii) se basar en pruebas encaminadas a determinar la fiabilidad de dichos controles internos y la diligencia empleada en su dise駉, ejecuci髇 y seguimiento;
    • iii) verificar el desempe駉 del encargado o de los encargados del cumplimiento con arreglo al art韈ulo 41, apartado 3, letras b), d), e) o, en su caso, f), del Reglamento (UE) 2022/2065, y la participaci髇 del 髍gano de direcci髇 del prestador conforme al art韈ulo 41, apartados 6 y 7, del mismo Reglamento;
  • b) las medidas de reducci髇 de riesgos establecidas por los prestadores auditados; esta evaluaci髇 se basar en:
    • i) procedimientos anal韙icos sustantivos;
    • ii) pruebas, incluidas pruebas de los sistemas algor韙micos, en caso de que la entidad auditora albergue dudas razonables, a la luz de los resultados de los procedimientos anal韙icos sustantivos y la evaluaci髇 de los controles internos, o estime necesario realizar pruebas seg鷑 la metodolog韆 de su elecci髇 en virtud del art韈ulo 10, apartado 1.

3. La entidad auditora sustentar la evaluaci髇 realizada de acuerdo con el presente art韈ulo en el an醠isis, entre otros datos, de la informaci髇 que se cita a continuaci髇:

  • a) los informes de evaluaci髇 y reducci髇 de riesgos correspondientes al per韔do auditado elaborados por el prestador auditado, junto con la informaci髇 confidencial que, en su caso, se haya omitido de la informaci髇 publicada con arreglo al art韈ulo 42, apartado 2, del Reglamento (UE) 2022/2065, y toda la documentaci髇 justificativa;
  • b) cuando proceda, los otros informes de evaluaci髇 y reducci髇 de riesgos del prestador auditado y la correspondiente documentaci髇 justificativa;
  • c) la informaci髇 remitida por el prestador auditado con arreglo al art韈ulo 5;
  • d) todos los informes de transparencia pertinentes del prestador auditado a que se refiere el art韈ulo 15, apartado 1, del Reglamento (UE) 2022/2065;
  • e) cuando proceda, informes anteriores de reducci髇 de riesgos, con la correspondiente documentaci髇 justificativa, relativos a per韔dos no abarcados por el per韔do auditado, junto con la informaci髇 confidencial que, en su caso, se haya omitido de la informaci髇 publicada con arreglo al art韈ulo 42, apartado 2, del Reglamento (UE) 2022/2065;
  • f) otros resultados de pruebas, documentaci髇, evidencia, declaraciones en respuesta a preguntas formuladas por escrito o de forma oral al personal del prestador auditado por parte de la entidad auditora y, en su caso, observaciones realizadas en las instalaciones;
  • g) otras evidencias pertinentes, incluidas las basadas en informaci髇 facilitada por el prestador auditado;
  • h) cuando est閚 disponibles, los informes contemplados en el art韈ulo 35, apartado 2, del Reglamento (UE) 2022/2065, las orientaciones de la Comisi髇, en particular las emitidas con arreglo al art韈ulo 35, apartado 3, de dicho Reglamento y cualquier otra orientaci髇 emitida por la Comisi髇 en relaci髇 con la aplicaci髇 del Reglamento (UE) 2022/2065.

4. La informaci髇 analizada por la entidad auditora podr comprender, seg鷑 proceda, la informaci髇 contemplada en el art韈ulo 42, apartado 4, del Reglamento (UE) 2022/2065, incluida la procedente de informes de auditor韆, de evaluaci髇 de riesgos y de reducci髇 de riesgos relativos a otras plataformas en l韓ea de muy gran tama駉 o motores de b鷖queda en l韓ea de muy gran tama駉, o datos e investigaciones publicados por investigadores autorizados con arreglo al art韈ulo 40, apartado 8, letra g), del Reglamento (UE) 2022/2065.

Art韈ulo 15 Metodolog韆s espec韋icas para la auditor韆 del cumplimiento del art韈ulo 36, sobre el mecanismo de respuesta a las crisis, del Reglamento (UE) 2022/2065

1. La evaluaci髇 del cumplimiento por parte del prestador auditado del art韈ulo 36, apartado 1, p醨rafo primero, letra a), del Reglamento (UE) 2022/2065 incluir, entre otros aspectos, un an醠isis de si, y de qu manera, el prestador auditado ha llevado a cabo las actuaciones necesarias, en particular:

  • a) si, y de qu manera, el prestador auditado ha determinado los sistemas pertinentes que intervienen en el funcionamiento y el uso de su servicio y contribuyen a una amenaza grave, y si dichos sistemas se han determinado adecuadamente;
  • b) si, y de qu manera, el prestador auditado ha definido y hecho un seguimiento de la contribuci髇 significativa a la amenaza grave, y si su evaluaci髇 es adecuada;
  • c) cualquier otro requisito recogido, en su caso, en la decisi髇 adoptada por la Comisi髇 en aplicaci髇 del art韈ulo 36, apartado 1 o apartado 7, p醨rafo segundo, del Reglamento (UE) 2022/2065.

2. La evaluaci髇 del cumplimiento por parte del prestador auditado del art韈ulo 36, apartado 1, p醨rafo primero, letra b), del Reglamento (UE) 2022/2065 incluir, entre otros aspectos, un an醠isis de si, y de qu manera, el prestador auditado ha llevado a cabo las actuaciones necesarias, en particular:

  • a) si, y de qu manera, el prestador auditado ha determinado las medidas para prevenir, eliminar o limitar cualquier contribuci髇 a la amenaza grave;
  • b) si, y de qu manera, las medidas adoptadas por el prestador auditado hacen frente a la gravedad de la amenaza y la urgencia, y si las medidas son adecuadas en este sentido;
  • c) si, y de qu manera, el prestador auditado ha determinado las partes afectadas por las medidas y sus intereses leg韙imos, y de qu manera ha evaluado la incidencia real o potencial de las medidas en los derechos, en particular, los derechos fundamentales, y los intereses leg韙imos de dichas partes;
  • d) si las medidas adoptadas por el prestador auditado son efectivas y proporcionadas;
  • e) cualquier otro requisito recogido, en su caso, en la decisi髇 adoptada por la Comisi髇 en aplicaci髇 del art韈ulo 36, apartado 1 o apartado 7, p醨rafo segundo, del Reglamento (UE) 2022/2065.

3. La evaluaci髇 del cumplimiento por parte del prestador auditado del art韈ulo 36, apartado 1, p醨rafo primero, letra c), del Reglamento (UE) 2022/2065 incluir, entre otros aspectos, un an醠isis del desarrollo de las actuaciones necesarias por parte del prestador auditado y, en particular, si ha comunicado a la Comisi髇 la informaci髇 especificada en una decisi髇 adoptada por esta con arreglo al art韈ulo 36, apartado 1 o apartado 7, p醨rafo segundo, del Reglamento (UE) 2022/2065, as como un an醠isis de la exactitud de los informes correspondientes.

Art韈ulo 16 Auditor韆 del cumplimiento del art韈ulo 37, sobre la auditor韆 independiente, del Reglamento (UE) 2022/2065

1. El cumplimiento de las obligaciones establecidas en el art韈ulo 37 del Reglamento (UE) 2022/2065 y en el presente Reglamento se evaluar respecto a la auditor韆 o las auditor韆s del per韔do anual precedente al que es objeto de la auditor韆 en curso.

2. Adem醩 de lo dispuesto en el apartado 1, la auditor韆 incluir la evaluaci髇 del cumplimiento por parte del prestador auditado del art韈ulo 37, apartado 2, del Reglamento (UE) 2022/2065 respecto a la auditor韆 en curso.

3. Cuando la auditor韆 o auditor韆s anteriores a que se refiere el apartado 1 hayan sido realizadas por la misma entidad auditora a cargo de la auditor韆 en curso, o cuando la entidad de auditor韆 encargada de la auditor韆 en curso est integrada por al menos una persona jur韉ica que haya participado en la auditor韆 anterior, en el informe de auditor韆 se explicar醤 los pasos que la entidad auditora ha seguido para asegurar la objetividad de su evaluaci髇.

Art韈ulo 17 Auditor韆 del cumplimiento de los c骴igos de conducta y protocolos de crisis

1. El prestador auditado pondr a disposici髇 de la entidad auditora:

  • a) la relaci髇 y el texto de todos los c骴igos de conducta contemplados en los art韈ulos 45 y 46 del Reglamento (UE) 2022/2065 y los protocolos de crisis indicados en el art韈ulo 48 del mismo Reglamento de los que el prestador auditado sea signatario;
  • b) una relaci髇 pormenorizada de los compromisos asumidos por el prestador auditado en virtud de dichos c骴igos de conducta y protocolos de crisis;
  • c) seg鷑 proceda, los indicadores clave de eficacia acordados en virtud de cada c骴igo de conducta y protocolo de crisis;
  • d) seg鷑 proceda, todas las mediciones, datos y documentos disponibles, as como todos los informes elaborados por el prestador auditado respecto a su cumplimiento de los compromisos asumidos, incluido el acceso a la totalidad de la informaci髇 y los datos que sean de inter閟 en relaci髇 con el funcionamiento de los servicios ofrecidos por el prestador auditado pertinentes para la aplicaci髇 del c骴igo de conducta o protocolo de crisis;
  • e) en su caso, otras mediciones, datos y documentos elaborados por las partes signatarias del c骴igo de conducta o el protocolo de crisis, as como las evaluaciones llevadas a cabo por la Comisi髇 o la Junta seg鷑 lo dispuesto en el art韈ulo 45, apartado 4, del Reglamento (UE) 2022/2065.

2. La evaluaci髇 del cumplimiento por parte del prestador auditado de los c骴igos de conducta a que se refiere el art韈ulo 45 del Reglamento (UE) 2022/2065 incluir, entre otros aspectos, la medici髇 de los indicadores clave de eficacia establecidos en el c骴igo de conducta en virtud del art韈ulo 45, apartado 3, de dicho Reglamento, con indicaci髇 del umbral de importancia relativa de las conclusiones de auditor韆, y la determinaci髇 de la exactitud de los datos comunicados.

SECCI覰 V
Disposiciones finales

Art韈ulo 18 Entrada en vigor

El presente Reglamento entrar en vigor a los veinte d韆s de su publicaci髇 en el Diario Oficial de la Uni髇 Europea.

El presente Reglamento ser obligatorio en todos sus elementos y directamente aplicable en cada Estado miembro.

Hecho en Bruselas, el 20 de octubre de 2023.
Por la Comisi髇
La Presidenta
Ursula VON DER LEYEN

ANEXO I

ANEXO II

(1)

DO L 277 de 27.10.2022, p. 1.

Ver Texto