a) procesní kroky k zajištění toho, aby auditorská organizace, která má být vybrána, splňovala podmínky stanovené v čl. 37 odst. 3 nařízení (EU) 2022/2065;

b) procesní kroky pro spolupráci a pomoc auditovaného poskytovatele při provádění auditů, včetně přístupu k relevantním informacím za účelem získání důkazních informací;

c) vymezení a výběr metodik auditů;

d) šablony pro zprávu o auditu a zprávu o provedení doporučení auditu.

a) jednotlivě splňují požadavky stanovené v čl. 37 odst. 3 písm. a) a c) nařízení (EU) 2022/2065;

b) společně splňují požadavek stanovený v čl. 37 odst. 3 písm. b) nařízení (EU) 2022/2065.

a) popis zavedených vnitřních kontrol, pokud jde o jednotlivé auditované povinnosti a závazky, včetně souvisejících ukazatelů a všech současných a historických měření, a referenční hodnoty používané auditovaným poskytovatelem k potvrzení nebo monitorování toho, že dodržuje auditované povinnosti a závazky, jakož i veškerou podpůrnou dokumentaci;

b) předběžnou analýzu přirozených a kontrolních rizik, pokud auditovaný poskytovatel takovou analýzu provedl, a veškerou podpůrnou dokumentaci;

c) informace o veškerých příslušných rozhodovacích strukturách, pravomocích útvarů poskytovatele, včetně funkce zajišťování souladu podle článku 41 nařízení (EU) 2022/2065, příslušných informačních systémech, zdrojích údajů, zpracování a ukládání, jakož i vysvětlení příslušných algoritmických systémů a jejich interakcí.

a) úplný seznam auditovaných povinností a závazků;

b) odpovědnosti auditorské organizace, v příslušných případech včetně podrobných údajů o každé právnické osobě, která tvoří auditorskou organizaci, a o stranách zmocněných k podpisu zprávy o auditu;

c) postupy a kontaktní místa, které auditovaný poskytovatel dal auditorské organizaci k dispozici, aby mohla požádat o přístup k údajům uvedeným v čl. 5 odst. 2;

d) časový rámec auditu, včetně data zahájení a ukončení auditorských postupů a dokončení zprávy o auditu;

e) postup řešení sporů mezi auditovaným poskytovatelem a auditorskou organizací vyplývajících z provádění auditu.

a) „kladný“, pokud auditorská organizace dospěje s přiměřenou mírou jistoty k závěru, že auditovaný poskytovatel auditovanou povinnost nebo závazek dodržoval;

b) „kladný s připomínkami“, pokud auditorská organizace dospěje s přiměřenou mírou jistoty k závěru, že auditovaný poskytovatel auditovanou povinnost nebo závazek dodržoval, avšak:

• i) auditorská organizace zahrne poznámky o referenčních hodnotách, které jí auditovaný poskytovatel poskytl v souladu s čl. 5 odst. 1 písm. a) nebo
• ii) auditorská organizace doporučuje zlepšení, která nemají podstatný vliv na její závěr.

c) „záporný“, pokud auditorská organizace dospěje s přiměřenou mírou jistoty k závěru, že auditovaný poskytovatel auditovanou povinnost nebo závazek nedodržoval.

a) „kladný“, pokud auditorská organizace dospěla ke „kladnému“ závěru auditu u všech auditovaných povinností nebo závazků;

b) „kladný s připomínkami“, pokud auditorská organizace dospěla u auditovaných povinností a závazků alespoň k jednomu závěru auditu „kladný s připomínkami“ a u žádné z auditovaných povinností nebo závazků nedospěla k „zápornému“ závěru auditu;

c) „záporný“, pokud auditorská organizace dospěla k „zápornému“ závěru auditu alespoň u jedné auditované povinnosti nebo závazku.

a) přirozená rizika;

b) kontrolní rizika;

c) zjišťovací rizika.

a) povaze auditované služby a společenskému a hospodářskému kontextu, v němž je auditovaná služba provozována, včetně pravděpodobnosti a závažnosti vystavení krizovým situacím a neočekávaným událostem;

b) povaze povinností a závazků;

c) dalším příslušným informacím, včetně:

• i) v příslušných případech informací z předchozích auditů, kterým byla auditovaná služba podrobena;
• ii) v příslušných případech informací ze zpráv vydaných Evropským sborem pro digitální služby nebo pokynů vydaných Komisí, včetně pokynů vydaných podle čl. 35 odst. 2 a 3 nařízení (EU) 2022/2065 a veškerých dalších příslušných pokynů vydaných Komisí, pokud jde o uplatňování nařízení (EU) 2022/2065;
• iii) v příslušných případech informací ze zpráv o auditu zveřejněných podle čl. 42 odst. 4 nařízení (EU) 2022/2065 jinými poskytovateli velmi velkých online platforem nebo velmi velkých internetových vyhledávačů provozovaných za podobných podmínek nebo poskytujících služby podobné auditované službě.

a) kritérií auditu pro posouzení dodržování jednotlivých auditovaných povinností nebo závazků, vymezených na základě informací podle čl. 5 odst. 1 písm. a), a přípustného prahu významnosti vyjádřeného v příslušných případech kvalitativně nebo kvantitativně;

b) všech testů a analytických postupů zaměřených na věcnou správnost a důkazních informací, které má auditorská organizace v úmyslu použít k posouzení dodržování jednotlivých auditovaných povinností nebo závazků.

a) odborný úsudek a skepticismus při posuzování informací, včetně informací týkajících se vnitřních kontrol auditovaného poskytovatele, které vedou auditorskou organizaci k formulování důvodných pochybností;

b) vnějších signálů poukazujících na auditorská rizika, zejména zpráv Evropského sboru pro digitální služby uvedených v čl. 35 odst. 2 nařízení (EU) 2022/2065, pokynů Komise, včetně pokynů uvedených v čl. 35 odst. 3 uvedeného nařízení a veškerých dalších příslušných pokynů vydaných Komisí, pokud jde o uplatňování nařízení (EU) 2022/2065, a zpráv o auditu vydaných na základě kodexů chování nebo krizových protokolů uvedených v článcích 45, 46 a 48 uvedeného nařízení;

c) informací týkajících se událostí, k nimž došlo během provádění auditu, včetně krizových situací, a které vyžadují dodatečná opatření ze strany auditovaného poskytovatele, aby se zajistilo dodržování určitých auditovaných povinností nebo závazků.

a) provádění testů a analytických postupů zaměřených na věcnou správnost, pokud jde o vnitřní kontroly, které auditovaný poskytovatel zavedl pro každou z auditovaných povinností nebo závazků;

b) provádění analytických postupů zaměřených na věcnou správnost za účelem posouzení dodržování každé z auditovaných povinností a závazků, a to i pokud jde o algoritmické systémy;

c) provádění testů, a to i pokud jde o algoritmické systémy, týkajících se auditovaných povinností a závazků, u nichž má auditorská organizace důvodné pochybnosti, jak je uvedeno v odstavci 4, a týkajících se auditovaných povinností a závazků, u nichž auditorská organizace považuje za nezbytné provést testy při výběru metodiky podle odstavce 1.

a) jsou relevantní a postačující ke snížení auditorských rizik zjištěných v souladu s článkem 9 a k tomu, aby auditorská organizace mohla předkládat závěry auditu a výroky auditora v souladu s článkem 8;

b) jsou podle odborného úsudku a skepticismu auditorské organizace spolehlivé.

a) reprezentativnosti vzorku pro období uvedené v čl. 3 odst. 2 a 3;

b) relevantním změnám auditované služby během uvedeného období;

c) relevantním změnám kontextu, v němž je auditovaná služba během uvedeného období poskytována;

d) relevantním vlastnostem algoritmických systémů, v příslušných případech včetně individualizace na základě profilování nebo jiných kritérií;

e) jiným relevantním charakteristikám nebo partiím zvažovaných údajů, informací a důkazů;

f) zastoupení a odpovídající analýze obav týkajících se konkrétních skupin, jako jsou nezletilé osoby nebo zranitelné skupiny a menšiny, v souvislosti s auditovanou povinností nebo závazkem.

a) zda auditovaný poskytovatel pečlivě určil, analyzoval a posoudil systémová rizika v Unii uvedená v čl. 34 odst. 1 prvním pododstavci nařízení (EU) 2022/2065, včetně posouzení:

• i) jak auditovaný poskytovatel určil rizika spojená s jeho službou s přihlédnutím k regionálním a jazykovým aspektům využívání jeho služby, včetně případů aspektů specifických pro určitý členský stát, a zda jsou rizika náležitě určena;
• ii) jak auditovaný poskytovatel analyzoval a posoudil každé riziko, včetně toho, jak zvážil pravděpodobnost a závažnost rizik, a zda bylo posouzení náležité;
• iii) jak auditovaný poskytovatel určil, analyzoval a posoudil faktory uvedené v čl. 34 odst. 2 prvním pododstavci nařízení (EU) 2022/2065, zda byly náležitě určeny a do jaké míry takové faktory ovlivňují rizika určená v odstavci 1 uvedeného článku;
• iv) jaké zdroje informací auditovaný poskytovatel použil, jak informace shromáždil, včetně toho, zda a jak se spoléhal na vědecké a technické poznatky;
• v) zda a jak auditovaný poskytovatel testoval předpoklady ohledně rizik u skupin, které jsou konkrétními riziky nejvíce dotčeny;

b) zda bylo posouzení rizik provedeno v časových rámcích stanovených v čl. 34 odst. 1 druhém pododstavci nařízení (EU) 2022/2065 a v příslušných případech v časových rámcích stanovených pro činnosti zavedené jako opatření ke zmírnění rizik za účelem odhalování systémových rizik podle čl. 35 odst. 1 písm. f) uvedeného nařízení;

c) jak auditovaný poskytovatel určil funkce, které budou pravděpodobně mít kritický dopad na rizika a u nichž se posouzení rizik provede před jejich zavedením podle čl. 34 odst. 1 druhého pododstavce nařízení (EU) 2022/2065, zda byly uvedené funkce správně určeny a zda bylo posouzení rizik náležitě provedeno;

d) zda auditovaný poskytovatel správně určil podpůrnou dokumentaci, která by měla být uchována s ohledem na posouzení rizik, zda zavedl nezbytné prostředky k zajištění uchování uvedené dokumentace po dobu nejméně tří let podle čl. 34 odst. 3 nařízení (EU) 2022/2065 a zda byla dokumentace odpovídajícím způsobem uchována.

a) vnitřní kontroly, které auditovaný poskytovatel zavedl za účelem monitorování provádění posouzení rizik týkajících se jednotlivých faktorů uvedených v čl. 34 odst. 2 prvním pododstavci nařízení (EU) 2022/2065; takové posouzení:

• i) je pro uvedené vnitřní kontroly založeno na analytických postupech zaměřených na věcnou správnost;
• ii) je založeno na testech spolehlivosti a pečlivého koncipování, provádění a monitorování uvedených vnitřních kontrol;
• iii) hodnotí, jak osoba nebo osoby pověřené zajišťováním souladu prováděly své úkoly podle čl. 41 odst. 3 písm. b, d), e) a v příslušných případech písm. f) nařízení (EU) 2022/2065 a jak se řídící orgán auditovaného poskytovatele podílel na rozhodnutích týkajících se řízení rizik podle čl. 41 odst. 6 a 7 uvedeného nařízení;

b) opatření, prostředky a postupy zavedené auditovaným poskytovatelem k zajištění dodržování článku 34 nařízení (EU) 2022/2065 a jejich výsledky; takové posouzení se zakládá na:

• i) analytických postupech zaměřených na věcnou správnost;
• ii) testech, včetně testů algoritmických systémů, pokud má auditorská organizace na základě výsledků analytických postupů zaměřených na věcnou správnost a posouzení vnitřních kontrol důvodné pochybnosti nebo pokud auditorská organizace považuje za nezbytné provést testy při výběru metodiky podle čl. 10 odst. 1.

a) zprávu o posouzení rizik za příslušné auditované období, kterou vypracoval auditovaný poskytovatel, v případě potřeby včetně důvěrných informací, které nejsou součástí informací zveřejněných podle čl. 42 odst. 2 uvedeného nařízení, a veškeré podpůrné dokumenty;

b) v příslušných případech jiné zprávy o posouzení rizik auditovaného poskytovatele a podpůrné dokumenty k nim;

c) informace předložené auditovaným poskytovatelem podle článku 5;

d) všechny příslušné zprávy o transparentnosti auditovaného poskytovatele uvedené v čl. 15 odst. 1 nařízení (EU) 2022/2065;

e) v příslušných případech veškeré další výsledky testů, dokumentaci, důkazy, prohlášení učiněná v reakci na písemné nebo ústní otázky, které auditorská organizace položila zaměstnancům auditovaného poskytovatele, a pozorování učiněná na místě;

f) jiné relevantní důkazy, a to i na základě informací poskytnutých auditovaným poskytovatelem;

g) případně zprávy uvedené v čl. 35 odst. 2 nařízení (EU) 2022/2065 a pokyny vydané Komisí, včetně pokynů vydaných podle čl. 35 odst. 3 uvedeného nařízení a veškerých dalších příslušných pokynů vydaných Komisí, pokud jde o uplatňování nařízení (EU) 2022/2065.

a) jak auditovaný poskytovatel určil opatření ke zmírnění rizik u každého ze systémových rizik uvedených v čl. 34 odst. 1 nařízení (EU) 2022/2065 a zda byla taková opatření ke zmírnění rizik určena pečlivě;

b) jak auditovaný poskytovatel posuzoval, zda se na auditovanou službu vztahují opatření ke zmírnění rizik uvedená v čl. 35 odst. 1 písm. a) až k) nařízení (EU) 2022/2065, a zda byl závěr uvedeného posouzení náležitý, a to i pokud jde o ta opatření, která auditovaný poskytovatel neuplatnil;

c) zda jsou zmírňující opatření zavedená auditovaným poskytovatelem důvodná, přiměřená a účinná pro zmírnění příslušných rizik, včetně:

• i) posouzení, zda společně reagují na všechna rizika, se zvláštním ohledem na rizika související s výkonem základních práv;
• ii) komparativního posouzení toho, jak byla rizika řešena před zavedením konkrétních opatření ke zmírnění rizik a po jejich zavedení;
• iii) posouzení toho, zda byla opatření ke zmírnění rizika vhodně navržena a provedena.

a) vnitřní kontroly, které auditovaný poskytovatel zavedl za účelem monitorování uplatňování opatření ke zmírnění rizik uvedených v čl. 35 odst. 1 nařízení (EU) 2022/2065 a toho, zda jsou tato opatření důvodná, přiměřená a účinná; takové posouzení:

• i) je pro uvedené vnitřní kontroly založeno na analytických postupech zaměřených na věcnou správnost;
• ii) je založeno na testech spolehlivosti a pečlivého koncipování, provádění a monitorování uvedených vnitřních kontrol;
• iii) hodnotí, jak osoba nebo osoby pověřené zajišťováním souladu prováděly své úkoly podle čl. 41 odst. 3 písm. b, d), e) a v příslušných případech písm. f) nařízení (EU) 2022/2065 a jak byl zapojen řídící orgán poskytovatele podle čl. 41 odst. 6 a 7 uvedeného nařízení;

b) zmírňující opatření zavedená auditovanými poskytovateli; takové posouzení se zakládá na:

• i) analytických postupech zaměřených na věcnou správnost;
• ii) testech, včetně testů algoritmických systémů, pokud má auditorská organizace na základě výsledků analytických postupů zaměřených na věcnou správnost a posouzení vnitřních kontrol důvodné pochybnosti nebo pokud auditorská organizace považuje za nezbytné provést testy při výběru metodiky podle čl. 10 odst. 1.

a) zprávy o posouzení rizik a o zmírňování rizik za příslušné auditované období, které vypracoval auditovaný poskytovatel, v případě potřeby včetně důvěrných informací, které nejsou součástí informací zveřejněných podle čl. 42 odst. 2 nařízení (EU) 2022/2065, a veškeré podpůrné dokumenty;

b) v příslušných případech jiné zprávy o posouzení rizik a o zmírňování rizik auditovaného poskytovatele a podpůrné dokumenty k nim;

c) informace předložené auditovaným poskytovatelem podle článku 5;

d) všechny příslušné zprávy o transparentnosti auditovaného poskytovatele uvedené v čl. 15 odst. 1 nařízení (EU) 2022/2065;

e) v příslušných případech dřívější zprávy o zmírňování rizik a podpůrné dokumenty k nim za období, na která se auditované období nevztahuje, v případě potřeby včetně důvěrných informací, které nejsou součástí informací zveřejněných podle čl. 42 odst. 2 nařízení (EU) 2022/2065;

f) v příslušných případech veškeré další výsledky testů, dokumentaci, důkazy, prohlášení učiněná v reakci na písemné a ústní otázky, které auditorská organizace položila zaměstnancům auditovaného poskytovatele, a pozorování učiněná na místě;

g) jiné relevantní důkazy, a to i na základě informací poskytnutých auditovaným poskytovatelem;

h) případně zprávy uvedené v čl. 35 odst. 2 nařízení (EU) 2022/2065 a pokyny vydané Komisí, včetně pokynů vydaných podle čl. 35 odst. 3 uvedeného nařízení a veškerých dalších příslušných pokynů vydaných Komisí, pokud jde o uplatňování nařízení (EU) 2022/2065.

a) zda a jak auditovaný poskytovatel určil příslušné systémy zapojené do fungování a využívání jeho služby, které významně přispívají k závažné hrozbě, a zda byly uvedené systémy náležitě určeny;

b) zda a jak auditovaný poskytovatel vymezil a monitoroval významný příspěvek k závažné hrozbě a zda bylo jeho posouzení náležité;

c) v příslušných případech jakýkoli jiný požadavek stanovený v rozhodnutí Komise uvedeném v čl. 36 odst. 1 nebo odst. 7 druhém pododstavci nařízení (EU) 2022/2065.

a) zda a jak auditovaný poskytovatel určil opatření s cílem předcházet závažné hrozbě, odstranit ji nebo omezit;

b) zda a jak opatření přijatá auditovaným poskytovatelem řešila závažnost vážného ohrožení, jejich naléhavost a zda byla v tomto ohledu vhodná;

c) zda a jak auditovaný poskytovatel určil strany dotčené opatřeními a jejich oprávněné zájmy a jak posuzoval nastalý nebo potenciální dopad opatření na práva uvedených stran, včetně základních práv, a na jejich oprávněné zájmy;

d) zda byla opatření přijatá auditovaným poskytovatelem účinná a přiměřená;

e) v příslušných případech jakýkoli jiný požadavek stanovený v rozhodnutí Komise uvedeném v čl. 36 odst. 1 nebo odst. 7 druhém pododstavci nařízení (EU) 2022/2065.

a) seznam a znění všech kodexů chování uvedených v článcích 45 a 46 nařízení (EU) 2022/2065 a krizových protokolů uvedených v článku 48 uvedeného nařízení, jichž je auditovaný poskytovatel signatářem;

b) podrobný seznam závazků v rámci uvedených kodexů chování a krizových protokolů, které auditovaný poskytovatel přijal;

c) v příslušných případech hlavní ukazatele výkonnosti dohodnuté v rámci jednotlivých kodexů chování a krizových protokolů;

d) v příslušných případech veškerá dostupná měření, údaje a dokumentaci a veškeré zprávy vypracované auditovaným poskytovatelem, pokud jde o dodržování přijatých závazků auditovaným poskytovatelem, včetně přístupu ke všem relevantním informacím a údajům týkajícím se fungování služeb nabízených auditovaným poskytovatelem, které se týkají provádění kodexu chování nebo krizového protokolu;

e) v příslušných případech další měření, údaje a dokumentaci vypracované signatáři kodexu chování nebo krizového protokolu a posouzení Komise nebo sboru uvedených v čl. 45 odst. 4 nařízení (EU) 2022/2065.