Règlement délégué (UE) 2024/436 de la Commission du 20 octobre 2023 complétant le règlement (UE) 2022/2065 du Parlement européen et du Conseil en établissant des règles concernant la réalisation d’audits pour les très grandes plateformes en ligne et les très grands moteurs de recherche en ligne

Le présent règlement établit les règles relatives à la réalisation d’audits en application de l’article 37 du règlement (UE) 2022/2065, en ce qui concerne: a) les étapes de la procédure visant à garantir que l’organisme d’audit à sélectionner remplit les conditions énoncées à l’article 37, paragraphe 3, du règlement (UE) 2022/2065; b) les étapes de la procédure concernant l’obligation de coopération et d’assistance qui incombe au fournisseur audité dans le cadre des audits, et notamment l’accès aux informations pertinentes en vue d’obtenir des éléments probants; c) la définition et le choix des méthodes d’audit; d) les modèles du rapport d’audit et du rapport de mise en œuvre des recommandations d’audit.

Aux fins du présent règlement, on entend par: 1) «organisme d’audit»: une organisation individuelle, un consortium ou une autre combinaison d’organisations, y compris des sous-traitants, que le fournisseur audité engage pour réaliser un audit indépendant conformément à l’article 37 du règlement (UE) 2022/2065; 2) «service audité»: une très grande plateforme en ligne ou un très grand moteur de recherche en ligne désigné conformément à l’article 33 du règlement (UE) 2022/2065; 3) «fournisseur audité»: le fournisseur d’un service audité qui fait l’objet d’audits indépendants en application de l’article 37, paragraphe 1, du règlement (UE) 2022/2065; 4) «obligation ou engagement audité»: une obligation ou un engagement mentionné à l’article 37, paragraphe 1, du règlement (UE) 2022/2065 qui fait l’objet de l’audit; 5) «critères d’audit»: les critères au regard desquels l’organisme d’audit évalue le respect de chaque obligation ou engagement audité; 6) «éléments probants»: toute information utilisée par un organisme d’audit pour étayer les constatations et conclusions de l’audit et pour émettre un avis d’audit, y compris les données recueillies à partir de documents, de bases de données ou de systèmes informatiques, d’entretiens ou de tests; 7) «inexactitude»: une omission, une déformation ou une erreur, intentionnelle ou non, dans les déclarations ou les données communiquées ou fournies par le fournisseur audité à l’organisme d’audit, ou dans l’environnement de test mis à la disposition de l’organisme d’audit par le fournisseur audité; 8) «risque d’audit»: le risque que l’organisme d’audit émette un avis d’audit incorrect ou parvienne à une conclusion erronée en ce qui concerne le respect, par le fournisseur audité, d’une obligation ou d’un engagement audité, compte tenu des risques de non-détection, des risques inhérents et des risques de non-contrôle concernant cette obligation ou cet engagement audité; 9) «risque de non-détection»: le risque que l’organisme d’audit ne détecte pas une inexactitude susceptible d’influer sur l’évaluation du respect, par le fournisseur audité, d’une obligation ou d’un engagement audité; 10) «risque inhérent»: le risque de non-conformité intrinsèquement lié à la nature, à la conception, à l’activité et à l’utilisation du service audité, ainsi qu’au contexte dans lequel celui-ci est exploité, et le risque de non-conformité lié à la nature de l’obligation ou de l’engagement audité; 11) «risque de non-contrôle»: le risque qu’une inexactitude ne soit pas évitée, décelée ou corrigée en temps utile au moyen des contrôles internes du fournisseur audité; 12) «seuil de signification»: le seuil au-delà duquel on peut raisonnablement penser que les écarts ou inexactitudes du fournisseur audité, pris individuellement ou globalement, affecteraient les constatations, les conclusions et les avis d’audit; 13) «niveau d’assurance raisonnable»: un niveau d’assurance élevé, mais non absolu, fondé sur des éléments probants suffisants et appropriés, qui permet à l’organisme d’audit d’établir, dans son avis et ses conclusions d’audit, si le fournisseur audité respecte les obligations ou engagements audités; 14) «contrôle interne»: toute mesure, y compris les processus et les tests, conçue, mise en œuvre et maintenue par le fournisseur audité, y compris ses responsables de la conformité et son organe de direction, pour contrôler et garantir le respect, par le fournisseur audité, de l’obligation ou de l’engagement audité; 15) «chercheur agréé»: un chercheur agréé conformément à l’article 40, paragraphe 8, du règlement (UE) 2022/2065; 16) «procédure d’audit»: toute technique appliquée par l’organisme d’audit dans la réalisation de l’audit, y compris la collecte de données, le choix et l’application de méthodes, telles que des tests et des procédures analytiques de corroboration, ainsi que toute autre mesure prise pour recueillir et analyser des informations en vue de recueillir des éléments probants et de formuler des conclusions d’audit, à l’exclusion de l’émission d’un avis d’audit ou du rapport d’audit; 17) «test»: une méthode d’audit consistant en des mesures, des expériences ou d’autres contrôles, y compris des contrôles de systèmes algorithmiques, par laquelle l’organisme d’audit évalue si le fournisseur audité respecte l’obligation ou l’engagement audité; 18) «procédure analytique de corroboration»: une méthode d’audit utilisée par l’organisme d’audit afin d’inférer d’une évaluation d’informations les risques d’audit ou le respect de l’obligation ou de l’engagement audité.

1 L’audit est effectué d’une manière et pour une durée qui permettent à l’organisme d’audit d’évaluer, avec un niveau d’assurance raisonnable, si le fournisseur audité respecte l’ensemble des obligations et engagements audités.

2 L’audit couvre la période commençant immédiatement après la période couverte par l’audit précédent et se terminant à une date qui permet à l’organisme d’audit de réaliser l’audit dans les délais prévus à l’article 37, paragraphe 1, du règlement (UE) 2022/2065, y compris en étayant l’évaluation qu’il a réalisée en application du paragraphe 1 par les éléments probants recueillis et les procédures d’audit menées au cours de cette période, et en complétant et en soumettant le rapport d’audit au fournisseur audité conformément à l’article 37, paragraphe 4, dudit règlement.

3 Lorsque aucun audit précédent n’a été réalisé, l’audit couvre la période commençant quatre mois après la notification prévue à l’article 33, paragraphe 6, premier alinéa, du règlement (UE) 2022/2065, et la durée de l’audit permet d’achever le rapport d’audit prévu à l’article 6, paragraphe 1, au plus tard dans un délai d’un an à compter du début de la période auditée.

1 Avant de sélectionner un organisme d’audit en vue de réaliser l’audit, le fournisseur audité vérifie si cet organisme remplit les exigences énoncées à l’article 37, paragraphe 3, du règlement (UE) 2022/2065.

2 Lorsque l’organisme d’audit à sélectionner est composé de plus d’une personne morale ou a l’intention de recourir à un ou plusieurs sous-traitants, le fournisseur audité vérifie si toutes ces personnes morales ou sous-traitants: a) remplissent individuellement les exigences énoncées à l’article 37, paragraphe 3, points a) et c), du règlement (UE) 2022/2065; b) remplissent conjointement l’exigence énoncée à l’article 37, paragraphe 3, point b), du règlement (UE) 2022/2065.

1 À un moment convenu avec l’organisme d’audit et, en tout état de cause, avant la mise en œuvre de toute procédure d’audit, le fournisseur audité transmet à l’organisme d’audit sélectionné au moins les informations suivantes: a) une description des contrôles internes mis en place pour chaque obligation et engagement audité, y compris les indicateurs connexes et toutes les mesures actuelles et historiques, ainsi que les critères de référence utilisés par le fournisseur audité pour établir ou contrôler le respect des obligations et engagements audités, ainsi que tout document justificatif; b) son analyse préliminaire des risques inhérents et des risques de non-contrôle, lorsque le fournisseur audité a effectué une telle analyse, ainsi que tout document justificatif; c) des informations sur les structures décisionnelles pertinentes, les compétences des services du fournisseur, y compris la fonction de vérification de la conformité conformément à l’article 41 du règlement (UE) 2022/2065, les systèmes informatiques, les sources de données, le traitement et le stockage pertinents, ainsi que des explications sur les systèmes algorithmiques pertinents et leurs interactions.

2 Sans retard injustifié, le fournisseur audité donne à l’organisme d’audit un accès à toutes les données nécessaires à la réalisation de l’audit, y compris les données à caractère personnel, la documentation, les informations sur les procédures et les processus, ainsi qu’aux systèmes informatiques, aux environnements de test, à son personnel et à ses locaux, ainsi qu’à tout sous-traitant concerné.

3 Le fournisseur audité met à la disposition de l’organisme d’audit toutes les ressources nécessaires et lui fournit l’assistance et les explications nécessaires pour lui permettre d’analyser les informations pertinentes et d’effectuer des tests, y compris lorsque les informations demandées par l’organisme d’audit conformément à l’article 37, paragraphe 3, du règlement (UE) 2022/2065 sont détenues par un tiers ayant un lien contractuel avec le fournisseur audité.

1 Le rapport d’audit mentionné à l’article 37, paragraphe 4, du règlement (UE) 2022/2065 est établi par l’organisme d’audit, sans ingérence du fournisseur audité. Ce rapport d’audit est établi conformément au modèle figurant à l’annexe I et contient des conclusions détaillées et étayées concernant tous les éléments du modèle.

2 Le cas échéant, le rapport de mise en œuvre des recommandations d’audit mentionné à l’article 37, paragraphe 6, du règlement (UE) 2022/2065 est établi conformément au modèle figurant à l’annexe II.

1 Le fournisseur audité et l’organisme d’audit concluent un accord écrit énonçant: a) la liste complète des obligations et engagements audités; b) les responsabilités de l’organisme d’audit, y compris, le cas échéant, de manière détaillée pour chaque personne morale qui la constitue, ainsi que des parties habilitées à signer le rapport d’audit; c) les procédures et les points de contact mis à disposition par le fournisseur audité pour permettre à l’organisme d’audit de demander l’accès aux données mentionnées à l’article 5, paragraphe 2; d) le calendrier de l’audit, y compris les dates de début et de fin des procédures d’audit ainsi que d’achèvement du rapport d’audit; e) une procédure de règlement des litiges entre le fournisseur audité et l’organisme d’audit qui découleraient de la réalisation de l’audit.

2 L’accord mentionné au paragraphe 1, ainsi que tout autre accord ou lettre de mission signé par l’organisme d’audit et le fournisseur audité en lien avec la réalisation de l’audit, sont annexés au rapport d’audit.

3 Lorsque des modifications sont apportées à l’accord mentionné au paragraphe 1 au cours de la réalisation de l’audit, elles sont indiquées explicitement dans le rapport d’audit.

1 Le rapport d’audit comprend les conclusions que tire l’organisme d’audit quant au respect, par le fournisseur audité, de chaque obligation et engagement audité. Les conclusions de l’audit peuvent être: a) «positives», lorsque l’organisme d’audit conclut, avec un niveau d’assurance raisonnable, que le fournisseur audité a respecté une obligation ou un engagement audité; ou b) «positives et assorties de commentaires», lorsque l’organisme d’audit conclut, avec un niveau d’assurance raisonnable, que le fournisseur audité a respecté une obligation ou un engagement audité, mais: i) l’organisme d’audit formule des observations sur les critères de référence communiqués par le fournisseur audité conformément à l’article 5, paragraphe 1, point a); ou ii) l’organisme d’audit recommande des améliorations qui n’ont pas d’effet significatif sur sa conclusion; c) «négatives», lorsque l’organisme d’audit conclut, avec un niveau d’assurance raisonnable, que le fournisseur audité n’a pas respecté une obligation ou un engagement audité.

2 Lorsqu’un rapport d’audit contient des recommandations opérationnelles conformément à l’article 37, paragraphe 4, point h), du règlement (UE) 2022/2065, ces recommandations et leur calendrier recommandé sont spécifiques à chaque obligation ou engagement audité pour lequel les conclusions de l’audit conformément au paragraphe 1 sont «positives et assorties de commentaires» ou «négatives».

3 Lorsque les recommandations opérationnelles mentionnées au paragraphe 2 comprennent des mesures spécifiques à prendre pour la mise en conformité, elles sont formulées de sorte à expliquer l’évaluation réalisée par l’organisme d’audit de la manière dont ces mesures affecteraient le seuil de signification par rapport aux conclusions de l’audit pour l’obligation ou l’engagement audité concerné.

4 Sur la base des conclusions de l’audit, le rapport d’audit comprend un avis d’audit sur le respect, par le fournisseur audité, de toutes les obligations auditées mentionnées à l’article 37, paragraphe 1, point a), du règlement (UE) 2022/2065.

5 Sur la base des conclusions relatives à tous les engagements audités, le rapport d’audit comprend un ou plusieurs avis d’audit, selon le cas, sur le respect, par le fournisseur audité, de tous les engagements audités qu’a pris le fournisseur audité en vertu de chaque code de conduite et de chaque protocole de crise mentionnés à l’article 37, paragraphe 1, point b), du règlement (UE) 2022/2065.

6 Les avis d’audit rendus conformément aux paragraphes 4 et 5 sont: a) «positifs» si l’organisme d’audit est parvenu à une conclusion d’audit «positive» pour l’ensemble des obligations ou engagements audités; ou b) «positifs assortis de commentaires» si l’organisme d’audit est parvenu à au moins une conclusion d’audit «positive assortie de commentaires» pour une obligation ou un engagement audité et n’est parvenu à aucune conclusion d’audit «négative» pour aucune obligation ou aucun engagement audité; ou c) «négatifs» si l’organisme d’audit est parvenu à une conclusion d’audit «négative» pour au moins une obligation ou un engagement audité.

7 Lorsque l’organisme d’audit évalue que, pendant une période limitée au cours de la période mentionnée à l’article 3, paragraphe 2, le fournisseur n’a pas respecté une obligation ou un engagement audité, le rapport d’audit décrit dûment cette évaluation.

8 Lorsque l’organisme d’audit ne peut émettre avec un niveau d’assurance raisonnable ni une conclusion d’audit conformément au paragraphe 1 ni un avis d’audit conformément aux paragraphes 4 et 5, le rapport d’audit comprend une explication des circonstances et des raisons pour lesquelles ce niveau d’assurance n’a pas pu être atteint.

1 Le rapport d’audit comprend une analyse des risques d’audit étayée, réalisée par l’organisme d’audit afin d’évaluer le respect, par le fournisseur audité, de chaque obligation ou engagement audité.

2 L’analyse des risques d’audit est effectuée avant la mise en œuvre des procédures d’audit et est mise à jour pendant que l’audit est réalisé, à la lumière de tout nouvel élément probant qui, selon le jugement professionnel de l’organisme d’audit, modifie substantiellement l’évaluation des risques d’audit.

3 L’analyse des risques d’audit tient compte: a) des risques inhérents; b) des risques de non-contrôle; c) des risques de non-détection.

4 L’analyse des risques d’audit est effectuée en tenant compte: a) de la nature du service audité et du contexte sociétal et économique dans lequel le service audité est fourni, y compris la probabilité et la gravité de l’exposition à des situations de crise et à des événements imprévus; b) de la nature des obligations et des engagements; c) d’autres informations utiles, notamment: i) le cas échéant, des informations provenant des audits dont le service audité a précédemment fait l’objet; ii) le cas échéant, des informations provenant de rapports publiés par le comité européen des services numériques ou d’orientations de la Commission, y compris les lignes directrices publiées conformément à l’article 35, paragraphes 2 et 3, du règlement (UE) 2022/2065, ainsi que de toute autre orientation pertinente publiée par la Commission en ce qui concerne l’application du règlement (UE) 2022/2065; iii) le cas échéant, des informations provenant de rapports d’audit publiés conformément à l’article 42, paragraphe 4, du règlement (UE) 2022/2065 par d’autres fournisseurs de très grandes plateformes en ligne ou de très grands moteurs de recherche en ligne opérant dans des conditions similaires ou fournissant des services semblables au service audité.

1 Sans préjudice des méthodes d’audit spécifiques exposées aux articles 13, 14 et 15, les audits sont réalisés à l’aide de méthodes d’audit appropriées afin de ramener les risques d’audit estimés à un niveau permettant à l’organisme d’audit de parvenir à des conclusions d’audit avec un niveau d’assurance raisonnable.

2 Le rapport d’audit comprend une description des méthodes d’audit conçues par l’organisme d’audit avant l’exécution de toute procédure d’audit, comprenant au moins: a) les critères d’audit utilisés pour évaluer le respect de chaque obligation ou engagement audité, définis sur la base des informations mentionnées à l’article 5, paragraphe 1, point a), et le seuil de signification toléré et exprimé en termes qualitatifs ou quantitatifs, selon le cas; b) tous les tests, procédures analytiques de corroboration et éléments probants que l’organisme d’audit a l’intention d’utiliser pour évaluer le respect de chaque obligation ou engagement audité. Le rapport d’audit comprend une description de toute modification apportée aux méthodes utilisées au cours de la réalisation de l’audit par rapport aux méthodes conçues avant la mise en œuvre des procédures d’audit.

3 Lorsqu’un organisme d’audit a des doutes raisonnables quant aux informations évaluées lors de la réalisation de l’audit, notamment en ce qui concerne les informations qui ont été présentées par le fournisseur audité, le choix et l’application de la méthode sont adaptés pour que ledit organisme puisse obtenir les éléments probants nécessaires conformément à l’article 11.

4 Des doutes raisonnables tels que mentionnés au paragraphe 3 sont réputés naître, en particulier, en présence de l’un des éléments suivants: a) l’exercice du jugement professionnel et de l’esprit critique dans l’évaluation des informations, notamment en ce qui concerne les contrôles internes du fournisseur audité, qui amène l’organisme d’audit à exprimer des doutes raisonnables; b) des indications externes laissant supposer l’existence de risques d’audit, en particulier les rapports du comité européen des services numériques prévus à l’article 35, paragraphe 2, du règlement (UE) 2022/2065, les orientations de la Commission, y compris sous la forme des lignes directrices mentionnées à l’article 35, paragraphe 3, dudit règlement et toute autre orientation pertinente publiée par la Commission en ce qui concerne l’application du règlement (UE) 2022/2065, ainsi que les rapports d’audit publiés en application des codes de conduite ou des protocoles de crise mentionnés aux articles 45, 46 et 48 dudit règlement; c) des informations relatives à des événements survenant au cours de la réalisation de l’audit, y compris des situations de crise, qui nécessitent des mesures supplémentaires de la part du fournisseur audité afin d’assurer le respect de certaines obligations ou engagements audités.

5 Les procédures d’audit comprennent au moins: a) la réalisation de tests et l’application de procédures analytiques de corroboration pour les contrôles internes que le fournisseur audité a mis en place pour chaque obligation ou engagement audité; b) la mise en œuvre de procédures analytiques de corroboration pour évaluer le respect de chaque obligation et engagement audité, y compris en ce qui concerne les systèmes algorithmiques; c) la réalisation de tests, portant notamment sur les systèmes algorithmiques, concernant les obligations et engagements audités à l’égard desquels l’organisme d’audit a des doutes raisonnables tels que définis au paragraphe 4, et concernant les obligations et engagements audités lorsqu’il juge nécessaire d’effectuer des tests dans le cadre de son choix de méthodes en application du paragraphe 1.

6 Lorsque les obligations ou engagements énoncés à l’article 37, paragraphe 1, du règlement (UE) 2022/2065 imposent au fournisseur audité de rendre publiques certaines informations, les méthodes d’audit comprennent une évaluation visant à déterminer si les informations communiquées sont exemptes d’erreur ou d’omission significative qui pourraient les rendre trompeuses.

Les conclusions et les avis d’audit sont fondés sur des éléments probants qui satisfont aux deux exigences suivantes: a) ils sont pertinents et suffisants pour réduire les risques d’audit identifiés conformément à l’article 9 et pour permettre à l’organisme d’audit de fournir des conclusions et des avis d’audit conformément à l’article 8; b) ils sont fiables, selon le jugement professionnel exercé par l’organisme d’audit et l’esprit critique dont il fait preuve.

1 Lorsque les éléments probants reposent, en tout ou en partie, sur un échantillon de données ou d’informations, la taille de l’échantillon et la méthode d’échantillonnage sont sélectionnées en vue de réduire au minimum le risque de non-détection et sans interférence de la part du fournisseur audité.

2 La taille de l’échantillon et la méthode d’échantillonnage sont sélectionnées de manière à assurer la représentativité des données ou informations et, le cas échéant, en tenant compte de l’ensemble des éléments suivants: a) la représentativité de l’échantillon pour la période mentionnée à l’article 3, paragraphes 2 et 3; b) les modifications pertinentes apportées au service audité au cours de cette période; c) les changements pertinents intervenus dans le contexte dans lequel est fourni le service audité au cours de cette période; d) les caractéristiques pertinentes des systèmes algorithmiques, le cas échéant, y compris la personnalisation par profilage ou sur la base d’autres critères; e) d’autres caractéristiques ou segmentations pertinentes des données, informations et éléments de preuve considérés; f) la représentation et l’analyse appropriée des préoccupations liées à des groupes particuliers, le cas échéant, tels que les mineurs ou les groupes vulnérables et les minorités, en ce qui concerne l’obligation ou l’engagement audité.

3 Le rapport d’audit contient une justification du choix de la taille de l’échantillon et de la méthode d’échantillonnage.

1 L’évaluation du respect, par le fournisseur audité, de l’article 34 du règlement (UE) 2022/2065 comprend, sans s’y limiter, une analyse de l’ensemble des éléments suivants: a) si le fournisseur audité a recensé, analysé et évalué de manière diligente les risques systémiques au sein de l’Union mentionnés à l’article 34, paragraphe 1, premier alinéa, du règlement (UE) 2022/2065, notamment en évaluant: i) la manière dont le fournisseur audité a identifié les risques liés à son service, en tenant compte des aspects régionaux et linguistiques de l’utilisation qui est faite dudit service, y compris lorsque ces aspects sont propres à un État membre; si les risques sont correctement identifiés ou non; ii) la manière dont le fournisseur audité a analysé et évalué chaque risque, y compris la manière dont il a tenu compte de la probabilité et de la gravité des risques, et si l’évaluation était appropriée; iii) la manière dont le fournisseur audité a identifié, analysé et évalué les facteurs mentionnés à l’article 34, paragraphe 2, premier alinéa, du règlement (UE) 2022/2065; s’ils ont été correctement identifiés et dans quelle mesure ces facteurs influencent les risques mentionnés au paragraphe 1 dudit article; iv) quelles sources d’information le fournisseur audité a utilisées; comment il a collecté les informations, y compris si, et comment, il s’est appuyé sur des connaissances scientifiques et techniques; v) si et comment le fournisseur audité a testé des hypothèses sur les risques auprès des groupes les plus affectés par les risques spécifiques; b) si l’évaluation des risques a été réalisée dans les délais fixés à l’article 34, paragraphe 1, deuxième alinéa, du règlement (UE) 2022/2065 et, le cas échéant, dans les délais fixés pour les activités mises en place en tant que mesures d’atténuation des risques pour la détection des risques systémiques en application de l’article 35, paragraphe 1, point f), dudit règlement; c) la manière dont le fournisseur audité a identifié les fonctionnalités susceptibles d’avoir une incidence critique sur les risques, pour lesquelles une évaluation des risques est réalisée avant leur déploiement, en application de l’article 34, paragraphe 1, deuxième alinéa, du règlement (UE) 2022/2065; si ces fonctionnalités ont été correctement identifiées et si l’évaluation des risques a été menée de manière appropriée; d) si le fournisseur audité a correctement identifié les documents justificatifs des évaluations des risques à conserver; s’il a mis en place les moyens nécessaires pour assurer la conservation de ces documents pendant au moins trois ans, conformément à l’article 34, paragraphe 3, du règlement (UE) 2022/2065, et si ces documents ont été conservés en conséquence.

2 Sans préjudice de toute autre analyse nécessaire pour atteindre un niveau d’assurance raisonnable, les méthodes de contrôle du respect de l’article 34 du règlement (UE) 2022/2065 comprennent au moins une évaluation, par l’organisme d’audit, des éléments suivants: a) les contrôles internes que le fournisseur audité a mis en place pour suivre la réalisation des évaluations des risques pour chacun des facteurs mentionnés à l’article 34, paragraphe 2, premier alinéa, du règlement (UE) 2022/2065; cette évaluation: i) est fondée sur des procédures analytiques de corroboration pour ces contrôles internes; ii) est fondée sur des tests visant à déterminer si ces contrôles internes sont fiables et conçus, exécutés et suivis avec diligence; iii) évalue la manière dont le ou les responsables de la conformité ont exécuté les tâches qui leur incombent en application de l’article 41, paragraphe 3, points b), d), e) et, le cas échéant, point f), du règlement (UE) 2022/2065 et la manière dont l’organe de direction du fournisseur audité a participé aux décisions relatives à la gestion des risques en application de l’article 41, paragraphes 6 et 7, dudit règlement; b) les actions, moyens et processus mis en place par le fournisseur audité pour assurer le respect de l’article 34 du règlement (UE) 2022/2065 et leurs résultats; cette évaluation est fondée sur: i) des procédures analytiques de corroboration; ii) des tests, portant notamment sur les systèmes algorithmiques, lorsque l’organisme d’audit a des doutes raisonnables, sur la base des résultats des procédures analytiques de corroboration et de l’évaluation des contrôles internes, ou lorsqu’il juge nécessaire d’effectuer des tests dans le cadre de son choix de méthodes en application de l’article 10, paragraphe 1.

3 Les informations analysées par l’organisme d’audit à l’appui de l’évaluation effectuée au titre du présent article comprennent, sans s’y limiter: a) le rapport sur l’évaluation des risques pour la période auditée, qui a été élaboré par le fournisseur audité, y compris, le cas échéant, les informations confidentielles qui ne font pas partie des informations publiées en application de l’article 42, paragraphe 2, dudit règlement, ainsi que tous les documents justificatifs; b) le cas échéant, d’autres rapports sur l’évaluation des risques du fournisseur audité et les documents justificatifs s’y rapportant; c) les informations communiquées par le fournisseur audité en application de l’article 5; d) tous les rapports de transparence pertinents du fournisseur audité mentionnés à l’article 15, paragraphe 1, du règlement (UE) 2022/2065: e) tous autres résultats de tests, documentation, éléments de preuve, déclarations faites en réponse à des questions écrites ou orales adressées par l’organisme d’audit au personnel du fournisseur audité, et observations formulées dans les locaux, le cas échéant; f) d’autres éléments de preuve pertinents, y compris sur la base d’informations mises à disposition par le fournisseur audité; g) selon leur disponibilité, les rapports mentionnés à l’article 35, paragraphe 2, du règlement (UE) 2022/2065 et les orientations de la Commission, y compris les lignes directrices publiées conformément à l’article 35, paragraphe 3, dudit règlement, ainsi que toute autre orientation pertinente publiée par la Commission en ce qui concerne l’application du règlement (UE) 2022/2065.

4 Les informations analysées par l’organisme d’audit peuvent comprendre, en tant que de besoin, les informations mentionnées à l’article 42, paragraphe 4, du règlement (UE) 2022/2065, y compris celles provenant des rapports d’audit, des rapports sur l’évaluation des risques et l’atténuation des risques, concernant d’autres très grandes plateformes en ligne ou très grands moteurs de recherche en ligne, ou les données et résultats de recherches mis à la disposition du public par des chercheurs agréés en application de l’article 40, paragraphe 8, point g), du règlement.

1 L’évaluation du respect, par le fournisseur audité, de l’article 35 du règlement (UE) 2022/2065 comprend, sans s’y limiter, une analyse de l’ensemble des éléments suivants: a) la manière dont le fournisseur audité a défini les mesures d’atténuation des risques pour chacun des risques systémiques mentionnés à l’article 34, paragraphe 1, du règlement (UE) 2022/2065, et si ces mesures d’atténuation des risques ont été mises en œuvre avec diligence; b) la manière dont le fournisseur audité a évalué si les mesures d’atténuation des risques mentionnées à l’article 35, paragraphe 1, points a) à k), du règlement (UE) 2022/2065, étaient applicables au service audité et si la conclusion de cette évaluation était appropriée, y compris en ce qui concerne les mesures qui n’ont pas été appliquées par le fournisseur audité; c) si les mesures d’atténuation mises en place par le fournisseur audité sont raisonnables, proportionnées et atténuent efficacement les risques considérés, notamment: i) en évaluant si elles constituent collectivement une réponse à tous les risques, en accordant une attention particulière aux risques liés à l’exercice des droits fondamentaux; ii) en procédant à une évaluation comparative de la manière dont les risques ont été traités avant et après la mise en place des mesures spécifiques d’atténuation des risques; iii) en évaluant si les mesures d’atténuation des risques ont été conçues et exécutées de manière appropriée.

2 Sans préjudice de toute autre analyse nécessaire pour atteindre un niveau d’assurance raisonnable, les méthodes de contrôle du respect de l’article 35 du règlement (UE) 2022/2065 comprennent au moins une évaluation, par l’organisme d’audit, des éléments suivants: a) les contrôles internes que le fournisseur audité a mis en place pour contrôler l’application des mesures d’atténuation des risques mentionnées à l’article 35, paragraphe 1, du règlement (UE) 2022/2065 et leur caractère raisonnable, proportionné et efficace; cette évaluation: i) est fondée sur des procédures analytiques de corroboration pour ces contrôles internes; ii) est fondée sur des tests visant à déterminer si ces contrôles internes sont fiables et conçus, exécutés et suivis avec diligence; iii) évalue la manière dont le ou les responsables de la conformité ont exécuté les tâches qui leur incombent en application de l’article 41, paragraphe 3, points b), d), e) et, le cas échéant, point f), du règlement (UE) 2022/2065 et la manière dont l’organe de direction du fournisseur a participé en application de l’article 41, paragraphes 6 et 7, dudit règlement; b) les mesures d’atténuation mises en place par les fournisseurs audités; cette évaluation est fondée sur: i) des procédures analytiques de corroboration; ii) des tests, portant notamment sur les systèmes algorithmiques, lorsque l’organisme d’audit a des doutes raisonnables, sur la base des résultats des procédures analytiques de corroboration et de l’évaluation des contrôles internes, ou lorsqu’il juge nécessaire d’effectuer des tests dans le cadre de son choix de méthodes en application de l’article 10, paragraphe 1.

3 Les informations analysées par l’organisme d’audit à l’appui de l’évaluation effectuée au titre du présent article comprennent, sans s’y limiter: a) les rapports sur l’évaluation des risques et l’atténuation des risques pour la période auditée, qui ont été élaborés par le fournisseur audité, y compris, le cas échéant, les informations confidentielles qui ne font pas partie des informations publiées en application de l’article 42, paragraphe 2, du règlement (UE) 2022/2065, ainsi que tous les documents justificatifs; b) le cas échéant, d’autres rapports sur l’évaluation des risques et l’atténuation des risques du fournisseur audité et les documents justificatifs s’y rapportant; c) les informations communiquées par le fournisseur audité en application de l’article 5; d) tous les rapports de transparence pertinents du fournisseur audité mentionnés à l’article 15, paragraphe 1, du règlement (UE) 2022/2065; e) le cas échéant, des rapports antérieurs sur l’évaluation des risques et les documents justificatifs s’y rapportant, qui concernent des périodes hors de la période auditée, y compris, le cas échéant, les informations confidentielles qui ne font pas partie des informations publiées en application de l’article 42, paragraphe 2, du règlement (UE) 2022/2065; f) tous autres résultats de tests, documentation, éléments de preuve, déclarations faites en réponse à des questions écrites et/ou orales adressées par l’organisme d’audit au personnel du fournisseur audité, et observations formulées dans les locaux, le cas échéant; g) d’autres éléments de preuve pertinents, y compris sur la base d’informations mises à disposition par le fournisseur audité; h) selon leur disponibilité, les rapports mentionnés à l’article 35, paragraphe 2, du règlement (UE) 2022/2065 et les orientations de la Commission, y compris les lignes directrices publiées en vertu de l’article 35, paragraphe 3, dudit règlement, ainsi que toute autre orientation pertinente publiée par la Commission en ce qui concerne l’application du règlement (UE) 2022/2065.

4 Les informations analysées par l’organisme d’audit peuvent comprendre, en tant que de besoin, les informations mentionnées à l’article 42, paragraphe 4, du règlement (UE) 2022/2065, y compris celles provenant des rapports d’audit, des rapports sur l’évaluation des risques et l’atténuation des risques, concernant d’autres très grandes plateformes en ligne ou très grands moteurs de recherche en ligne, ou les données et résultats de recherches mis à la disposition du public par des chercheurs agréés en application de l’article 40, paragraphe 8, point g), du règlement (UE) 2022/2065.

1 L’évaluation du respect, par le fournisseur audité, de l’article 36, paragraphe 1, premier alinéa, point a), du règlement (UE) 2022/2065 comprend, sans s’y limiter, une analyse de la mesure et de la manière dans laquelle le fournisseur audité a entrepris les actions requises, et notamment: a) si et comment le fournisseur audité a identifié les systèmes pertinents participant au fonctionnement et à l’utilisation de son service qui contribuent de manière significative à une menace grave et si ces systèmes ont été correctement identifiés; b) si et comment le fournisseur audité a défini et surveillé la contribution significative à la menace grave et si son évaluation était appropriée; c) toute autre exigence spécifiée dans la décision de la Commission mentionnée à l’article 36, paragraphe 1, ou à l’article 36, paragraphe 7, deuxième alinéa, du règlement (UE) 2022/2065, selon le cas.

2 L’évaluation du respect, par le fournisseur audité, de l’article 36, paragraphe 1, premier alinéa, point b), du règlement (UE) 2022/2065 comprend, sans s’y limiter, une analyse de la mesure et de la manière dans laquelle le fournisseur audité a entrepris les actions requises, et notamment: a) si et comment le fournisseur audité a identifié des mesures visant à prévenir, éliminer ou limiter toute contribution à la menace grave; b) si et comment les mesures prises par le fournisseur audité correspondaient au caractère sérieux de la menace grave et à son urgence, et si lesdites mesures étaient appropriées à cet égard; c) si et comment le fournisseur audité a identifié les parties concernées par les mesures et leurs intérêts légitimes, et comment il a évalué l’impact réel ou potentiel des mesures sur les droits de ces parties, y compris leurs droits fondamentaux et leurs intérêts légitimes; d) si les mesures prises par le fournisseur audité étaient efficaces et proportionnées; e) toute autre exigence spécifiée dans la décision de la Commission mentionnée à l’article 36, paragraphe 1, ou à l’article 36, paragraphe 7, deuxième alinéa, du règlement (UE) 2022/2065, selon le cas.

3 L’évaluation du respect, par le fournisseur audité, de l’article 36, paragraphe 1, premier alinéa, point c), du règlement (UE) 2022/2065 comprend, sans s’y limiter, une analyse de la manière dont le fournisseur audité a entrepris l’action requise, et en particulier si le fournisseur audité a fourni à la Commission les informations requises dans la décision de la Commission mentionnée à l’article 36, paragraphe 1, ou à l’article 36, paragraphe 7, deuxième alinéa, du règlement (UE) 2022/2065, et si ces informations étaient exactes.

1 Le respect des obligations énoncées à l’article 37 du règlement (UE) 2022/2065 et dans le présent règlement est évalué par rapport à l’audit ou aux audits réalisés au cours de la période annuelle qui a précédé celle de l’audit courant.

2 Outre ce que prévoit le paragraphe 1, l’audit contient une évaluation du respect, par le fournisseur audité, de l’article 37, paragraphe 2, du règlement (UE) 2022/2065 en ce qui concerne l’audit courant.

3 Lorsque l’audit ou les audits précédents mentionnés au paragraphe 1 ont été réalisés par le même organisme d’audit que l’audit courant, ou lorsque l’organisme d’audit qui réalise l’audit courant comprend au moins une entité juridique ayant participé à l’audit antérieur, le rapport d’audit expose les mesures prises par l’organisme d’audit pour assurer l’objectivité de l’évaluation.

1 Le fournisseur audité met à la disposition de l’organisme d’audit: a) la liste et le texte de tous les codes de conduite mentionnés aux articles 45 et 46 du règlement (UE) 2022/2065 et des protocoles de crise mentionnés à l’article 48 dudit règlement, dont le fournisseur audité est signataire; b) une liste détaillée des engagements pris par le fournisseur audité dans le cadre de ces codes de conduite et protocoles de crise; c) le cas échéant, les indicateurs clés de performance convenus dans le cadre de chaque code de conduite et de chaque protocole de crise; d) le cas échéant, toute mesure, toute donnée et toute documentation disponibles, ainsi que tout rapport préparé par le fournisseur audité en ce qui concerne le respect, par lui-même, des engagements pris, y compris l’accès à toutes les informations et données pertinentes relatives au fonctionnement des services qu’il offre en rapport avec la mise en œuvre du code de conduite ou du protocole de crise; e) le cas échéant, d’autres mesures, données et documentations préparées par les signataires du code de conduite ou du protocole de crise, ainsi que les évaluations effectuées par la Commission ou le comité mentionnées à l’article 45, paragraphe 4, du règlement (UE) 2022/2065.

2 L’évaluation du respect, par le fournisseur audité, des codes de conduite mentionnés à l’article 45 du règlement (UE) 2022/2065 comprend, sans s’y limiter, le mesurage des indicateurs clés de performance convenus dans le code de conduite en application de l’article 45, paragraphe 3, dudit règlement, en précisant le seuil de signification des conclusions de l’audit et si les données communiquées sont exactes.

Le présent règlement entre en vigueur le vingtième jour suivant celui de sa publication au Journal officiel de l’Union européenne.