Agencia Estatal Boletín Oficial del Estado

(1)

Las auditorías independientes suponen una herramienta importante en la supervisión del cumplimiento por parte de los prestadores de las plataformas en línea de muy gran tamaño y los motores de búsqueda en línea de muy gran tamaño de las obligaciones que les impone el Reglamento (UE) 2022/2065. Aunque se contemplan otras herramientas de rendición de cuentas en dicho Reglamento, en particular el refuerzo del control público de los informes de transparencia y otros requisitos de divulgación de datos, las entidades auditoras independientes tienen un papel especial a la hora de evaluar el cumplimiento del Reglamento por parte de los prestadores en un momento inicial. Las conclusiones, observaciones y recomendaciones de dichas auditorías independientes pueden constituir una aportación significativa a la supervisión reguladora. Al mismo tiempo, las auditorías independientes son una de las varias fuentes de información y análisis que los reguladores pueden usar en su labor de supervisar y garantizar el cumplimento de la normativa.

(2)

Para asegurar el desarrollo eficaz, eficiente, en tiempo oportuno y equiparable de las auditorías independientes realizadas a partir de la fecha de aplicación prevista en los artículos 92 y 93 del Reglamento (UE) 2022/2065, procede que la Comisión establezca normas de auditoría, en particular, en lo que respecta a las obligaciones legales de los prestadores auditados y las fases del procedimiento para asegurar que las organizaciones auditoras reúnan las condiciones de independencia, ausencia de conflictos de intereses, conocimientos especializados y ética profesional establecidas en el artículo 37, apartado 3, del Reglamento (UE) 2022/2065.

(3)

Al objeto de facilitar la correcta realización de las auditorías con un alto nivel de conocimientos especializados y evitar consecuencias imprevistas en el mercado de los servicios de auditoría, es preciso aclarar que son varios los auditores que pueden realizar las auditorías previstas en el artículo 37 del Reglamento (UE) 2022/2065. En caso de necesidad —por ejemplo, si se precisan conocimientos específicos sobre la auditoría de determinadas obligaciones o compromisos, como los relacionados con el diseño y funcionamiento de los sistemas algorítmicos, o una comprensión de los riesgos en materia de derechos fundamentales o la difusión de contenidos ilícitos—, el prestador auditado tiene la posibilidad de contratar a distintas entidades auditoras, o un consorcio de entidades, para realizar la auditoría. Las entidades auditoras también tienen la posibilidad de subcontratar a terceros con los conocimientos especializados necesarios, siempre que tanto la entidad auditora como los subcontratistas reúnan las condiciones necesarias de independencia, ausencia de conflictos de intereses y objetividad y ética profesional acreditadas, además de satisfacer de forma conjunta las condiciones en materia de conocimientos técnicos. Aun en tales supuestos, sigue siendo necesario que el prestador auditado garantice que se lleve a cabo, con una periodicidad mínima anual, la auditoría de su cumplimiento de todas las obligaciones y todos los compromisos a que se refiere el artículo 37, apartado 1, del Reglamento (UE) 2022/2065.

(4)

Es necesario que las entidades auditoras emitan los dictámenes de auditoría contemplados en el artículo 37, apartado 4, letra g), del Reglamento (UE) 2022/2065 con un grado de seguridad razonable, para lo cual han de tener un grado de confianza alto, aunque no absoluto, en que no existen incorrecciones, como omisiones, inexactitudes o errores, que no se hayan detectado en la auditoría. Para garantizar dicho grado de seguridad, es necesario, entre otros aspectos, que la entidad auditora obtenga una evidencia de auditoría suficiente y emplee metodologías de auditoría adecuadas en su evaluación.

(5)

A tenor de lo dispuesto en el artículo 37, apartado 1, del Reglamento (UE) 2022/2065, las auditorías independientes deben realizarse al menos una vez al año, atendiendo al ciclo anual de las evaluaciones de riesgos contempladas en el artículo 34. Sin embargo, en determinados supuestos puede requerirse una mayor frecuencia de las auditorías. La frecuencia las auditorías ha de asegurar que haya una continuidad en la supervisión del cumplimiento por parte de los prestadores auditados del Reglamento (UE) 2022/2065 y de los códigos de conducta y protocolos de crisis pertinentes. El prestador auditado debe asegurarse de que el período abarcado por una determinada auditoría en la que se evalúe su cumplimiento de las obligaciones y compromisos objeto de auditoría complemente el período cubierto por la auditoría anterior de su cumplimiento de las mismas obligaciones y compromisos y que dicho período comience, a más tardar, cuando se haya cerrado el período de la auditoría anterior. Dado que la conclusión de una auditoría implica tanto la evaluación por parte de la entidad auditora como la elaboración de un informe de auditoría, los prestadores auditados deben garantizar que las auditorías tengan una duración que permita finalizarlas al menos una vez al año y que los informes de auditoría se transmitan a la Comisión y al coordinador de servicios digitales sin dilación indebida, tal como establece el artículo 42, apartado 4, del Reglamento (UE) 2022/2065.

(6)

Los prestadores auditados, si bien deben abstenerse de interferir en el desarrollo de la auditoría y en sus conclusiones, han de cumplir las obligaciones contempladas en el artículo 37 del Reglamento (UE) 2022/2065, entre otros aspectos mediante la concertación de condiciones contractuales con la entidad auditora y la verificación, previa a la elección de la entidad auditora, de que esta cumple las condiciones contempladas en el artículo 37, apartado 3, del Reglamento (UE) 2022/2065.

(7)

Por ejemplo, el prestador auditado tiene que evaluar los contratos que haya celebrado con la entidad auditora con anterioridad o los contratos que la entidad auditora haya celebrado con personas jurídicas vinculadas al prestador auditado. También es necesario que, en los contratos con las entidades auditoras, el prestador auditado incluya cláusulas destinadas a garantizar el respeto de las condiciones establecidas en el artículo 37, apartado 3, del Reglamento (UE) 2022/2065. Cuando la entidad auditora esté integrada por varias entidades, el prestador auditado tiene que comprobar el cumplimiento de dichas condiciones por todas ellas, incluidos, en su caso, los subcontratistas contratados por la entidad auditora para prestar algún tipo de apoyo en la realización de la auditoría. Mientras que cada entidad que intervenga en la auditoría debe reunir los requisitos de independencia y ausencia de conflictos de intereses de forma individual, los requisitos relacionados con la competencia, los conocimientos especializados o los recursos técnicos han de cumplirse de forma conjunta, lo que permite que distintas entidades puedan encargarse de distintas partes de la auditoría y aportar las capacidades, la competencia y los conocimientos especializados necesarios para su realización. En el informe de auditoría se deben especificar las responsabilidades de cada una de esas entidades respecto a las distintas partes de la auditoría.

(8)

Conforme a lo dispuesto en el artículo 37, apartado 3, letra a), inciso i), del Reglamento (UE) 2022/2065, a la hora de verificar si una entidad auditora cumple los requisitos de independencia y de ausencia de conflictos de intereses, el prestador auditado debe poner especial atención en evitar que la entidad auditora le preste servicios que no sean de auditoría. Entre los servicios cuya posible prestación debe comprobar se encuentran, por ejemplo, los relacionados con cualquier sistema, programa informático o proceso que intervenga en cuestiones pertinentes para la obligación o compromiso objeto de auditoría, tales como servicios de consultoría para la evaluación del desempeño, la gobernanza y los programas informáticos, servicios de formación, desarrollo o mantenimiento de sistemas, o subcontratación de la moderación de contenidos. También se incluyen los servicios prestados al prestador auditado en materia de asesoramiento sobre controles internos, o de desarrollo de estos, así como en materia de evaluación, con fines internos, de su cumplimiento del Reglamento (UE) 2022/2065 o de los códigos de conducta y protocolos de crisis, aunque lo anterior se haya limitado a la realización de pruebas puntuales, como, por ejemplo, pruebas de funcionamiento de los sistemas de moderación de contenidos realizadas por terceros. Esto no debe excluir a las organizaciones de auditoría que hayan realizado auditorías financieras legales.

(9)

Dada la complejidad y peculiaridad de las auditorías de cumplimiento del Reglamento (UE) 2022/2065, los conocimientos especializados de la entidad auditora en la materia son un requisito fundamental para la realización de las auditorías con un grado de seguridad razonable y aplicando el juicio y escepticismo profesionales que permiten a la entidad saber, por ejemplo, qué información necesita para realizar los procedimientos de auditoría o cuestionar la información contradictoria. Resulta, por lo tanto, necesario que el prestador auditado compruebe que la entidad auditora posee dichos conocimientos especializados, entre otros en materia de gestión de riesgos, tanto por lo que respecta a los riesgos de auditoría como al objeto del Reglamento (UE) 2022/2065, y, en particular, los riesgos sistémicos para la sociedad contemplados en el artículo 34 del mismo. También corresponde al prestador auditado verificar la competencia y capacidades técnicas de la entidad auditora, atendiendo al servicio concreto objeto de auditoría, y, en particular, sus conocimientos especializados en la materia, por ejemplo, en lo referente al funcionamiento y los efectos de sistemas algorítmicos tales como los sistemas de recomendación y otros sistemas sociotécnicos que gestione el prestador. Es necesario que la entidad auditora tenga la posibilidad de recurrir a la subcontratación u otras modalidades para obtener y utilizar los conocimientos especializados y capacidades necesarios, y que el prestador auditado verifique y se asegure de que la entidad auditora sea capaz de reunir dichos conocimientos especializados y capacidades a tiempo para la realización de la auditoría.

(10)

A la hora de verificar el cumplimiento por parte de las entidades auditoras de las condiciones establecidas en el artículo 37, apartado 3, del Reglamento (UE) 2022/2065, el prestador auditado tiene que evaluar las pruebas que lo acrediten, incluidas, en su caso, las certificaciones, las declaraciones y los informes de auditoría emitidos por la entidad auditora. A modo de ejemplo, la posesión de los conocimientos especializados adecuados podría acreditarse a través de la experiencia práctica en la evaluación y gestión de riesgos, y también mediante la actividad académica, publicaciones científicas y experiencia en auditorías pertinentes. Los informes de auditoría han de contener toda la documentación justificativa del cumplimiento de las condiciones pertinentes por parte de la entidad auditora.

(11)

A tenor de lo dispuesto en el artículo 37, apartado 2, del Reglamento (UE) 2022/2065, el prestador auditado debe proporcionar la cooperación y la asistencia necesarias para permitir que la entidad auditora lleve a cabo la auditoría de manera eficaz, eficiente y en tiempo oportuno, y abstenerse de toda injerencia en las decisiones independientes de la entidad auditora. A modo de ejemplo, el prestador auditado no debe imponer, asesorar o ejercer cualquier otro tipo de influencia sobre la entidad auditora, mediante restricciones o incentivos, sean contractuales o no, en su elección y ejecución de procedimientos de auditoría, metodologías, obtención y tratamiento de datos y evidencias de auditoría, análisis, pruebas, dictamen de auditoría o elaboración de las conclusiones de auditoría.

(12)

Al objeto de garantizar la cooperación y la asistencia necesarias durante la auditoría, el prestador auditado ha de asegurarse de que la entidad auditora tenga acceso a toda la información necesaria para realizar la auditoría. Es preciso que el prestador auditado remita todos los documentos y explicaciones necesarios a la mayor brevedad posible y, en todo caso, antes de que la entidad auditoria inicie la ejecución de los procedimientos de auditoría. Por ejemplo, en virtud del artículo 41, apartado 3, letras d) y e), del Reglamento (UE) 2022/2065, la función de comprobación del cumplimiento del prestador auditado consiste en hacer el seguimiento del cumplimiento de todas las obligaciones y compromisos objeto de auditoría, lo que debe traducirse en la elaboración de controles internos. Por consiguiente, la entidad auditora debe tener acceso a toda la información relativa a esos controles internos y a cualquier otra información que describa la estrategia del prestador para garantizar el cumplimiento. En concreto, el prestador auditado debe poner a disposición de la entidad auditora los valores de referencia utilizados para garantizar el cumplimiento del Reglamento (UE) 2022/2065, de modo que la entidad auditora pueda basar los criterios de auditoría en esta información. Además, la entidad auditora debe tener acceso a todo análisis que el prestador auditado pueda haber realizado en materia de riesgos inherentes y riesgos de control. El prestador debe poner a disposición de la entidad auditora información que facilite la comprensión del servicio auditado, su gobernanza, la competencia de los diferentes equipos y estructuras de toma de decisiones, en particular su función de comprobación del cumplimiento, así como presentaciones de sus sistemas informáticos, datos y estructuras de registros, y la interacción entre los diferentes sistemas algorítmicos pertinentes para la auditoría.

(13)

Es importante que la entidad auditora tenga la posibilidad, en cualquier momento durante la auditoría, de requerir cualquier otra información necesaria, y que se le facilite el acceso a dicha información sin demora injustificada y de tal forma que no se vea obstaculizado en modo alguno el desarrollo de la auditoría. Este requisito debe aplicarse igualmente al acceso a los datos, incluidos los de carácter personal, recabados de diversas fuentes, tales como documentos, sistemas algorítmicos, bases de datos o entrevistas, según proceda. También resulta necesario que el prestador auditado facilite a la entidad auditora el acceso a sus procedimientos y procesos y a los sistemas informáticos, entre ellos los sistemas algorítmicos y de información, incluidos los entornos de pruebas. Para asegurar la eficacia de la revisión de los citados sistemas por parte de la entidad auditora, es necesario que el prestador auditado ponga a su disposición todos los recursos necesarios a su alcance para facilitarle el acceso a los sistemas y su evaluación, pudiendo citarse a modo de ejemplo la puesta a disposición de la entidad auditora del personal competente del prestador para contestar preguntas o manejar los entornos de pruebas y explicar su funcionamiento, o la facilitación del acceso necesario al personal y a instalaciones tales como edificios. El acceso a los procedimientos y procesos podría también implicar, por ejemplo, dar acceso a descripciones o documentos relacionados con el proceso interno de toma de decisiones del prestador auditado. Puede que sean necesarias otras actuaciones accesorias por parte del prestador auditado para facilitar el acceso a la información pertinente y dar así cumplimiento a sus obligaciones de cooperación y asistencia. Por ejemplo, en caso de llevarse a cabo entrevistas con el personal, puede que el prestador auditado tenga que facilitar instalaciones seguras para su desarrollo. Cuando sea necesario para la realización de la auditoría, los prestadores auditados deben facilitar el acceso a la información pertinente y dar así cumplimiento a sus obligaciones de cooperación y asistencia con la entidad auditora, entre otras cosas, proporcionando acceso a los datos pertinentes relativos a sus operaciones que obren en poder de sus contratistas externos. Este podría ser el caso, por ejemplo, de los resultados de las actividades de moderación de contenidos, el material didáctico o las orientaciones utilizados por los contratistas externos que moderan los contenidos, o, en el caso de los prestadores de servicios y proveedores de soluciones informáticas, entre otras cosas, los algoritmos y aplicaciones utilizados en los sistemas de recomendación o publicitarios de que dispone el prestador auditado.

(14)

A fin de dotar a las conclusiones de auditoría de una verdadera transparencia y establecer un formato de informe que garantice la exhaustividad y comparabilidad de los informes de auditoría contemplados en el artículo 37, apartado 4, del Reglamento (UE) 2022/2065 y los informes de aplicación de la auditoría contemplados en su artículo 37, apartado 6, es necesario que el presente Reglamento establezca los modelos para dichos informes, junto con el requisito de adjuntar una serie de anexos a los mismos. Aunque el nivel de información exigido por los modelos establecidos en el presente Reglamento es alto, no debe afectar a los requisitos de publicación de informes a que se refiere el artículo 42, apartados 4 y 5, del Reglamento (UE) 2022/2065.

(15)

Al objeto de garantizar que el prestador auditado preste toda la asistencia necesaria a la entidad auditora, absteniéndose de interferir en el desarrollo de la auditoría, y de asegurar que la entidad auditora reúna todas las condiciones previas a la auditoría y emita el informe de auditoría en plazo y con la calidad necesaria para alcanzar un grado de seguridad razonable, es necesario establecer determinadas normas relativas a los procedimientos de preparación de la auditoría. Las funciones y responsabilidades del prestador auditado y de la entidad auditora, incluidos todos los subcontratistas o las entidades colaboradoras, así como el personal encargado de la auditoría, se deben acordar por escrito, siendo posible su inclusión en las cláusulas contractuales. En dicho acuerdo escrito se deben fijar también las obligaciones y compromisos objeto de auditoría, la asignación de recursos y las normas que rijan las interacciones y los puntos de contacto entre la entidad auditora y el prestador auditado. Es necesario adjuntar la totalidad de la documentación justificativa y los contratos al informe de auditoría, también cuando dicha documentación revista la forma de una carta de encargo u otras cláusulas contractuales.

(16)

Al objeto de ofrecer una visión de conjunto completa y facilitar la rendición de cuentas por parte de los prestadores auditados, el informe de auditoría de la entidad auditora debe incluir las conclusiones extraídas de su valoración del cumplimiento de cada una de las obligaciones o compromisos objeto de auditoría por parte del prestador auditado. A finalidad de contribuir debidamente al dictamen de auditoría, cada conclusión de auditoría ha de sustentarse en un grado de seguridad razonable y ser «favorable», «favorable con observaciones» o «negativa». Las conclusiones «favorable con observaciones» no deben referirse a la evaluación del cumplimiento en sí misma. A modo de ejemplo, las observaciones pueden referirse a la aportación de información por el prestador a requerimiento de la entidad auditora o a mejoras en el mantenimiento o los controles implantados por el prestador auditado, así como registrar los planes de reducción de riesgos y mejoras adicionales que el prestador pretenda llevar a cabo. En todo caso, cuando la entidad auditora considere que el prestador auditado cumple una obligación o compromiso objeto de auditoría con arreglo a los valores de referencia notificados por el prestador auditado, pero considere necesario incluir observaciones sobre dichos valores de referencia, la conclusión de la auditoría debe ser «favorable con observaciones», ya que estas podrían resultar de utilidad para respaldar posibles cambios en los valores de referencia utilizados, sobre la base de los conocimientos y la experiencia de la entidad auditora, así como de información procedente de fuentes externas. Por ejemplo, las observaciones podrían basarse en orientaciones de la Comisión, en particular las indicadas en el artículo 35, apartado 3, del Reglamento (UE) 2022/2065, así como en: cualquier otra orientación emitida por la Comisión en relación con la aplicación de dicho Reglamento; los informes de la Junta Europea de Servicios Digitales a que se refiere el artículo 35, apartado 2, de dicho Reglamento; medidas de ejecución; las decisiones adoptadas por la Comisión en virtud de dicho Reglamento; la jurisprudencia pertinente, en particular del Tribunal de Justicia de la Unión Europea; consultas públicas; o documentos emitidos por fuentes autorizadas pertinentes.

(17)

Al objeto de facilitar el control público y la supervisión regulatoria, cuando una conclusión de auditoria sea «negativa», pero solo se aplique durante un tiempo determinado y la entidad auditora considere que el prestador auditado ha cumplido la obligación o compromiso durante el resto del período auditado, se debe reflejar este extremo en el informe de auditoría para cada obligación y cada compromiso afectados. El informe debe incluir las observaciones de la entidad auditora acerca de toda información que el prestador auditado haya puesto a su disposición en relación con los planes de reducción de riesgos existentes o previstos para subsanar el incumplimiento.

(18)

Vista la distinta naturaleza de las obligaciones legales establecidas en el capítulo III del Reglamento (UE) 2022/2065 y los compromisos voluntarios asumidos en virtud de los códigos de conducta y protocolos de crisis contemplados en los artículos 45, 46 y 48 del mismo Reglamento, la entidad auditora debe emitir sendos dictámenes de auditoría sobre el cumplimiento del mencionado capítulo y de cada código y protocolo.

(19)

Para que se realice la auditoría con un grado de seguridad razonable y se diseñen procedimientos de auditoría adecuados, atendiendo a metodologías que reduzcan el riesgo de auditoría a niveles bajos, la estimación de los riesgos de auditoría, es decir, el riesgo de que la entidad auditora exprese una opinión o conclusión de auditoría inadecuada, se configura como un elemento clave de la metodología para la realización de la auditoría. Es necesario, por tanto, que la entidad auditora evalúe el riesgo de auditoría en el primer momento de la auditoría, antes de diseñar la metodología exacta y ejecutar los procedimientos de auditoría. El análisis de los riesgos de auditoría es necesario a fin de permitir a la entidad auditora elegir las metodologías concretas para la auditoría y determinar el nivel de exhaustividad que los procedimientos de auditoría tendrán que alcanzar para lograr el grado de seguridad razonable exigido para el dictamen de auditoría. La entidad auditora debe analizar los riesgos de auditoría en su evaluación del cumplimiento de cada obligación o compromiso objeto de auditoría, atendiendo a los riesgos inherentes, de control y de detección.

(20)

Para que los riesgos de auditoría se evalúen de forma correcta, es preciso que en el análisis de dichos riesgos se tengan en cuenta la naturaleza del servicio objeto de auditoría, en especial su perfil de riesgo, y el alcance y la complejidad de la auditoría. Resulta probable, por ejemplo, que los riesgos inherentes de las plataformas en línea que permitan la celebración de contratos a distancia entre consumidores sean distintos de los de las plataformas de distribución de vídeos o los motores de búsqueda. Es importante, además, considerar el contexto social y económico en el que se preste el servicio objeto de auditoría, pudiendo citarse, entre otros aspectos, los grupos típicos de usuarios, como, por ejemplo, los menores, o las conductas frecuentes, como, por ejemplo, una elevada incidencia de uso no auténtico y las actuaciones concertadas en las campañas de desinformación. En la consideración del contexto social y económico es necesario que se atienda también a la probabilidad y, de forma independiente, la gravedad de la exposición a situaciones de crisis y acontecimientos imprevistos de acuerdo con lo dispuesto en el Reglamento (UE) 2022/2065.

(21)

Al objeto de garantizar que el análisis de los riesgos de auditoría refleje la evolución de los riesgos a los que se encuentre expuesto el servicio, dicho análisis también debe basarse en la información procedente de las auditorías a las que, en su caso, haya estado sometido el prestador auditado con anterioridad, y en la información obtenida, por ejemplo, de los informes de auditoría de otros prestadores con un perfil de riesgo similar. Para garantizar que el análisis de los riesgos de auditoría se sustente en las pruebas más recientes de los riesgos existentes en contextos similares a aquellos en los que ejerce su actividad el prestador auditado, así como en información procedente de fuentes fiables y directamente pertinentes a efectos de la aplicación del Reglamento (UE) 2022/2065, también es preciso que el análisis se fundamente en los informes emitidos por la Junta Europea de Servicios Digitales o, en su caso, las orientaciones de la Comisión. Otra posible fuente de información son los informes de auditoría publicados por otros prestadores de plataformas en línea de muy gran tamaño o motores de búsqueda en línea de muy gran tamaño al amparo del artículo 42, apartado 4, del Reglamento (UE) 2022/2065.

(22)

La entidad auditora debe elaborar, sin injerencias del prestador auditado, las metodologías de auditoría que vayan a emplearse en la evaluación del cumplimiento de las obligaciones y compromisos objeto de auditoría. Los criterios de auditoría deben basarse en la información facilitada por el prestador auditado, como la información sobre los valores de referencia empleados por el prestador auditado en el seguimiento de su cumplimiento. La metodología también puede tener en cuenta otra información facilitada por el prestador auditado, como un análisis de riesgos inherentes efectuado por este, por ejemplo, a través de las medidas desarrolladas por el encargado del cumplimiento o el órgano de dirección de conformidad con el artículo 41 del Reglamento (UE) 2022/2065 u otras medidas incorporadas en el funcionamiento del servicio con el objeto de evaluar los riesgos sistémicos según lo dispuesto en el artículo 34 de dicho Reglamento.

(23)

Al objeto de garantizar que las metodologías de auditoría se adecuen a la consecución del grado de seguridad razonable necesario para la emisión de los dictámenes de auditoría, es necesario que la elección de la metodología para los procedimientos de auditoría se haga teniendo en cuenta las peculiaridades de la obligación o el compromiso objeto de auditoría y se ajuste, por ejemplo, a la naturaleza de la obligación objeto de auditoría según se trate de una obligación de medios o de resultados que el prestador tiene que conseguir para lograr la conformidad. A modo de ejemplo, en la evaluación del cumplimiento de la obligación de transparencia informativa contemplada en el artículo 15 del Reglamento (UE) 2022/2065 se podrían emplear procedimientos de auditoría que permitieran a la entidad auditora concluir si los informes se han publicado en el plazo y forma establecidos en el Reglamento, además de determinar su integridad y la exactitud, la representatividad y el desglose adecuado (por ejemplo, por categoría de contenido ilegal) de los datos presentados en ellos.

(24)

La selección de metodología también dependerá de la necesidad o no de que la entidad auditora efectúe interpretaciones contextuales para evaluar el cumplimiento. La selección de metodologías también debe adecuarse a los riesgos inherentes vinculados con las actividades realizadas en el marco de la prestación del servicio y con el contexto en el que el mismo se presta, por ejemplo, si el servicio implica la venta de mercancías potencialmente ilícitas o si lo usan ante todo menores de edad. Por ejemplo, las metodologías empleadas para evaluar el cumplimiento de las obligaciones contempladas en el artículo 28, apartado 1, del Reglamento (UE) 2022/2065, que exige el establecimiento de medidas adecuadas y proporcionadas para garantizar un elevado nivel de privacidad, seguridad y protección de los menores, deben permitir que la entidad auditora llegue a comprender adecuadamente el uso que los menores de edad hacen del servicio auditado, los riesgos que pueden presentarse en relación con su privacidad, seguridad y protección, y qué puede considerarse una medida adecuada y proporcionada en el contexto específico del servicio auditado y su uso por parte de los menores. A tal fin, las entidades auditoras deben dividir la evaluación en fases adecuadas. Deben evaluar los riesgos de auditoría en función del perfil de riesgo del prestador auditado, en particular si el servicio prestado está disponible para los menores de edad o si estos representan su público principal. También deben examinar, por ejemplo, si el prestador ha implementado herramientas que permitan garantizar la edad, si son eficaces y cómo evalúa y controla su eficacia. Otro aspecto que deben evaluar es si el prestador auditado ha adoptado medidas adecuadas para detectar el uso indebido de su servicio y patrones de comportamiento que busquen perjudicar a menores o sean susceptibles de hacerlo.

(25)

La selección de las metodologías también debe adaptarse a los riesgos de control vinculados a las medidas de cumplimiento establecidas por el prestador auditado y a los riesgos de detección, es decir, el riesgo de la no detección de incorrecciones en la información puesta a disposición de la entidad auditora por parte del prestador. A modo de ejemplo, cuando la obligación objeto de auditoría pueda implicar la auditoría de un sistema algorítmico basado en la configuración personalizada para cada destinatario del servicio auditado y en la actualización recurrente de tal sistema, como es el caso de las obligaciones de divulgación de información aplicables a los sistemas de recomendación a tenor de lo dispuesto en el artículo 27 del Reglamento (UE) 2022/2065, la selección de la metodología tendrá que permitir a la entidad auditora diseñar las pruebas adecuadas para minimizar los riesgos de detección. Del mismo modo, cuando la entidad auditora pretenda evaluar la reducción de todos los riesgos pertinentes en lo que se refiere al diseño, el funcionamiento y el uso de aplicaciones basadas en grandes modelos de lenguaje, como funcionalidades de chat o sistemas de recomendación desplegados por el prestador auditado, deberá evaluar en primer lugar la idoneidad de los controles establecidos por el prestador. La selección de pruebas debe basarse en la solidez de dichos controles internos. En ese sentido, uno de los supuestos en los que los procedimientos de auditoría tendrían que sustentarse en una combinación de metodologías es la existencia de controles internos débiles, incompletos o insuficientes para concluir si se cumplen las normas atendiendo a la población de destinatarios del servicio objeto de auditoría. Dichas metodologías podrían incluir, por ejemplo, procedimientos analíticos sustantivos como el análisis de las interacciones entre todos los sistemas algorítmicos que intervienen en los sistemas de recomendación, así como las normas y procesos de toma de decisiones conexos para el establecimiento de los principales parámetros de dichos sistemas de recomendación, u observaciones de registros y archivos digitales. Es necesario que las metodologías incluyan también pruebas de sistema tales como pruebas en entornos de simulación.

(26)

Al objeto de garantizar que la metodología sea pertinente y se adapte a las nuevas observaciones que vayan surgiendo durante la realización de la auditoría, la selección de las metodologías debe orientarse por el juicio profesional de la entidad auditora y modificarse a fin de tener en cuenta esas nuevas observaciones, especialmente en caso de que la entidad auditora albergue dudas razonables sobre la información remitida por el prestador auditado. El escepticismo profesional de la entidad auditora debe basarse en sus conocimientos especializados y en otras fuentes de información de especial pertinencia para la aplicación del Reglamento (UE) 2022/2065, como los informes de la Junta Europea de Servicios Digitales, las orientaciones de la Comisión, los informes de auditoría emitidos en relación con los códigos de conducta y protocolos de crisis contemplados en los artículos 45, 46 y 48 del mismo Reglamento, o la información revelada durante la realización de la auditoría, incluida la relacionada con hechos, en particular, situaciones de crisis, que requieran actuaciones suplementarias por parte del prestador auditado para asegurar el cumplimiento de determinadas obligaciones o compromisos objeto de auditoría.

(27)

Para asegurar la obtención de una evidencia de auditoría suficiente durante el desarrollo de la auditoría, es necesario que las entidades auditoras evalúen los controles internos del prestador auditado y lleven a cabo procedimientos sustantivos de auditoría destinados a evaluar su cumplimiento. En determinados supuestos, la entidad auditora también tendrá que efectuar pruebas.

(28)

Debido a la complejidad de los sistemas algorítmicos empleados por los prestadores de plataformas en línea y su papel importante en el cumplimiento de varias de las obligaciones contempladas en el Reglamento (UE) 2022/2065, es necesario que se preste una atención especial a la elección de las metodologías necesarias y adecuadas para la auditoría de los sistemas algorítmicos. Esto resulta de aplicación tanto si los sistemas algorítmicos se integran en los controles implantados por el prestador auditado como si los propios sistemas algorítmicos son el objeto de las obligaciones o compromisos auditados, como en el caso de los sistemas de recomendación en virtud de los artículos 27, 34, 35 y 38 del Reglamento (UE) 2022/2065, los sistemas publicitarios en virtud de sus artículos 26, 28, 34, 35 y 39, los sistemas de moderación de contenidos en virtud de sus artículos 14, 15, 34 y 35, o cualquier otro sistema algorítmico que contribuya a los riesgos indicados en el artículo 34 del mismo Reglamento.

(29)

También es necesario emplear una combinación de distintos procedimientos analíticos sustantivos, basándose, según proceda, en observaciones de los procesos y actividades del prestador auditado en relación con el diseño, desarrollo, manejo, prueba y seguimiento de los sistemas algorítmicos, o en observaciones de los registros y archivos digitales generados por los sistemas. Las metodologías tienen que adaptarse a las peculiaridades de los sistemas algorítmicos, pudiendo citarse, entre otras, su gobernanza, la interacción entre los diferentes sistemas algorítmicos y los correspondientes sistemas de gestión de datos, y a las tecnologías que sustenten dichos sistemas algorítmicos, como los modelos generativos u otros clasificadores o los algoritmos de selección o búsqueda.

(30)

Asimismo, las metodologías de auditoría de los sistemas algorítmicos deben incluir pruebas para, por ejemplo, obtener información no documentada con anterioridad por el prestador auditado o reproducir de forma independiente y evaluar los resultados de los indicadores de precisión, así como pruebas realizadas en entornos de pruebas o de simulación o en sistemas de producción, entre ellas las realizadas mediante la extracción de información (data scraping) o la emulación de adversarios (adversarial testing).

(31)

Dado que una calidad alta de la evidencia de auditoría se configura como condición esencial para permitir a la entidad auditora emitir un dictamen de auditoría con un grado de seguridad razonable, la información elegida por la entidad auditora como evidencia de auditoría tiene que ser adecuada y suficiente para reducir los riesgos de auditoría. Además, la evidencia de auditoría tiene que ser fiable según el juicio y el escepticismo profesionales de la entidad auditora y, cuando proceda, a la vista de fuentes de información alternativas. El juicio y escepticismo profesionales deben incluir una valoración crítica de la evidencia de auditoría y las posibles incorrecciones. Estos requisitos de calidad deben aplicarse a toda evidencia de auditoría, tanto la proporcionada por el prestador auditado como la obtenida de otras fuentes.

(32)

La entidad auditora debe considerar diversas fuentes de información, como, por ejemplo, entrevistas con el personal o los contratistas del prestador auditado, incluidos los encargados del cumplimiento, los ingenieros, los científicos de datos, los arquitectos de software, o el personal que integre los equipos de auditoría interna. Otras posibles fuentes son la documentación técnica relativa al diseño, manejo, pruebas y seguimiento de un sistema pertinente, incluida la documentación sobre calidad y gobernanza de datos, así como la relativa a las actualizaciones y versiones del sistema, además de otros documentos sobre los procesos de gobernanza y toma de decisiones del prestador auditado, atendiendo, entre otros aspectos, a las prioridades, los recursos, la asignación de funciones y responsabilidades, o los conocimientos especializados del personal pertinente.

(33)

Para garantizar la eficiencia y proporcionalidad del desarrollo de la auditoría, es necesario que la entidad auditora tenga la posibilidad de muestrear los datos e información, atendiendo en la debida medida a la obtención de una muestra representativa, al objeto de permitir a la entidad auditora emitir un dictamen de auditoría con un grado de seguridad razonable. En aras de la transparencia y reproducibilidad de los procedimientos de auditoría, en su informe de auditoría la entidad auditora tendrá que justificar sus decisiones relativas al tamaño de la muestra y el método de muestreo. Por ejemplo, el tamaño de la muestra y la metodología deben determinarse en función de su eficacia en la consecución del objetivo fijado para la auditoría de la obligación o el compromiso específicos, y con la finalidad de minimizar el riesgo de que existan discrepancias entre la conclusión extraída tras someter a auditaría la muestra concreta y la conclusión que pudiera alcanzarse en caso de someter la población entera de evidencia al procedimiento de auditoría. El tamaño de la muestra y la metodología de muestreo deben determinarse atendiendo al alcance global de la auditoría y a los cambios internos o externos que se hayan producido en el servicio auditado durante el período analizado. También deben adaptarse a las peculiaridades de los sistemas algorítmicos, entre ellas las relativas a la personalización basada en la elaboración de perfiles. En ese sentido, la entidad auditora debe, por ejemplo, asegurar el muestreo adecuado de las distintas cohortes o particiones que puedan derivarse del empleo de técnicas de personalización, o determinar el margen de error y justificar que se encuentra en un nivel aceptable.

(34)

Dada la novedad de algunas de las disposiciones del Reglamento (UE) 2022/2065, resulta necesario el establecimiento de principios metodológicos, entre otros las preguntas de auditoría, así como otras orientaciones para la selección de las metodologías de auditoría y la evidencia de auditoría a efectos de la evaluación del cumplimiento de dichas disposiciones, y más concretamente de los artículos 34, 35 y 36 del citado Reglamento, relativos a la realización de evaluaciones de riesgo y la adopción de medidas de reducción de riesgos por los prestadores auditados y a la aplicación de las obligaciones relacionadas con la respuesta a las crisis.

(35)

Las entidades auditoras también han de evaluar el cumplimiento del artículo 37 del Reglamento (UE) 2022/2065 por parte del prestador auditado, por lo que resulta igualmente necesario especificar de forma más concreta la auditoría específica con respecto a la cual debe evaluarse el cumplimiento, al objeto, en particular, de evitar todo conflicto de intereses para la entidad auditora.

(36)

Dado el carácter facultativo de los códigos de conducta y protocolos de crisis, es necesario establecer normas específicas para la auditoría del cumplimiento de los artículos 45, 46 y 48 del Reglamento (UE) 2022/2065, al objeto, en particular, de garantizar que las entidades auditoras dispongan de toda la información necesaria para realizar las auditorías específicas de los compromisos asumidos en virtud de cada código de conducta y protocolo de crisis.

1)

«entidad auditora»: una entidad individual, o un consorcio u otra agrupación de entidades, y, en su caso, sus subcontratistas, contratada por el prestador auditado para la realización de una auditoría independiente de conformidad con el artículo 37 del Reglamento (UE) 2022/2065;

2)

«servicio auditado»: una plataforma en línea de muy gran tamaño o un motor de búsqueda en línea de muy gran tamaño, designados como tales de conformidad con el artículo 33 del Reglamento (UE) 2022/2065;

3)

«prestador auditado»: el prestador de un servicio auditado sujeto a auditorías independientes en virtud del artículo 37, apartado 1, del citado Reglamento;

4)

«obligación o compromiso objeto de auditoría»: una obligación o un compromiso a que se refiere el artículo 37, apartado 1, del Reglamento (UE) 2022/2065 que constituya el objeto de la auditoría;

5)

«criterios de auditoría»: los criterios empleados por la entidad auditora para evaluar el cumplimiento de cada obligación o compromiso objeto de auditoría;

6)

«evidencia de auditoría»: toda aquella información empleada por una entidad auditora para sustentar sus observaciones y conclusiones de auditoría y emitir un dictamen de auditoría, incluidos los datos procedentes de documentos, bases de datos o sistemas informáticos, entrevistas o la realización de pruebas;

7)

«incorrección»: toda omisión, distorsión o error, ya sea deliberado o no, en las declaraciones o en los datos comunicados o suministrados a la entidad auditora por parte del prestador auditado, o en el entorno de pruebas puesto a disposición de la entidad auditora por parte del prestador auditado;

8)

«riesgo de auditoría»: el riesgo de que la entidad auditora emita un dictamen de auditoría incorrecto o extraiga una conclusión incorrecta sobre el cumplimiento de una obligación o un compromiso objeto de auditoría por parte del prestador auditado, atendiendo a los riesgos de detección, riesgos inherentes y riesgos de control relacionados con dicha obligación o dicho compromiso objeto de auditoría;

9)

«riesgo de detección»: el riesgo de que la entidad auditora no detecte una incorrección que tenga pertinencia a efectos de la evaluación del cumplimiento de una obligación o de un compromiso objeto de auditoría por parte del prestador auditado;

10)

«riesgo inherente»: el riesgo de incumplimiento intrínsecamente vinculado a la naturaleza, el diseño, la actividad y el uso del servicio auditado, así como al contexto en el que se desarrolla, y el riesgo de incumplimiento vinculado a la naturaleza de la obligación o compromiso objeto de auditoría;

11)

«riesgo de control»: el riesgo de que una incorrección no sea prevenida, detectada y corregida oportunamente por los controles internos del prestador auditado;

12)

«umbral de importancia relativa»: el umbral a partir del cual las desviaciones o incorrecciones del prestador auditado, consideradas de forma individual o de forma agregada, afectarían razonablemente a las observaciones, conclusiones y dictámenes de la auditoría;

13)

«grado de seguridad razonable»: un grado de seguridad alto, aunque no absoluto, que permite a la entidad auditora determinar en su dictamen de auditoría y en sus conclusiones de auditoría si el prestador auditado cumple o no las obligaciones o compromisos objeto de auditoría, sobre la base de una evidencia suficiente y adecuada;

14)

«control interno»: todas aquellas actuaciones, incluidos los procesos y las pruebas, diseñadas, implementadas y mantenidas por el prestador auditado, en particular, por sus encargados del cumplimiento y su órgano de dirección, para el seguimiento y la garantía de su cumplimiento de la obligación o del compromiso objeto de auditoría;

15)

«investigador autorizado»: un investigador autorizado según lo establecido en el artículo 40, apartado 8, del Reglamento (UE) 2022/2065;

16)

«procedimiento de auditoría»: toda técnica aplicada por la entidad auditora al llevar a cabo la auditoría, entre otras, la obtención de datos, la selección y aplicación de metodologías, tales como pruebas y procedimientos analíticos sustantivos, y cualquier otra actuación realizada al objeto de recopilar y analizar información con la finalidad de obtener evidencia de auditoría y formular conclusiones de auditoría, excluida la emisión de dictámenes e informes de auditoría;

17)

«prueba»: una metodología de auditoría que consiste en mediciones, experimentos u otras verificaciones, incluidas las de sistemas algorítmicos, empleada por la entidad auditora para evaluar el cumplimiento de la obligación o compromiso objeto de auditoría por parte del prestador auditado;

18)

«procedimiento analítico sustantivo»: una metodología de auditoría utilizada por la entidad auditora para evaluar la información al objeto de inferir los riesgos de auditoría o el cumplimiento de la obligación o compromiso objeto de auditoría.

SECCIÓN B: Entidad(es) auditora(s)

Añádanse tantas líneas como sean necesarias para cumplimentar esta sección.

SECCIÓN F.1: Terceros consultados

Repítase esta sección para cada tercero consultado, incrementando la numeración en uno cada vez (por ejemplo, F.1, F.2 y así sucesivamente)

SECCIÓN G: Cualquier otra información que, en su caso, la entidad auditora desee incluir en el informe de auditoría (como una descripción de posibles limitaciones inherentes).

Inclúyanse tantas líneas como sean necesarias según la asignación de responsabilidades y la atribución de la facultad a que se refiere el artículo 7, apartado 1, letra b)

Fecha:

…

Firmado por:

…

Lugar:

…

En nombre de:

…

A cargo de:

…

SECCIÓN A: Información general