Article 13 Méthodes spécifiques destinées à contrôler le respect de l’article 34 du règlement (UE) 2022/2065 relatif à l’évaluation des risques

1. si le fournisseur audité a recensé, analysé et évalué de manière diligente les risques systémiques au sein de l’Union mentionnés à l’article 34, paragraphe 1, premier alinéa, du règlement (UE) 2022/2065, notamment en évaluant:

   1. la manière dont le fournisseur audité a identifié les risques liés à son service, en tenant compte des aspects régionaux et linguistiques de l’utilisation qui est faite dudit service, y compris lorsque ces aspects sont propres à un État membre; si les risques sont correctement identifiés ou non;

   2. la manière dont le fournisseur audité a analysé et évalué chaque risque, y compris la manière dont il a tenu compte de la probabilité et de la gravité des risques, et si l’évaluation était appropriée;

   3. la manière dont le fournisseur audité a identifié, analysé et évalué les facteurs mentionnés à l’article 34, paragraphe 2, premier alinéa, du règlement (UE) 2022/2065; s’ils ont été correctement identifiés et dans quelle mesure ces facteurs influencent les risques mentionnés au paragraphe 1 dudit article;

   4. quelles sources d’information le fournisseur audité a utilisées; comment il a collecté les informations, y compris si, et comment, il s’est appuyé sur des connaissances scientifiques et techniques;

   5. si et comment le fournisseur audité a testé des hypothèses sur les risques auprès des groupes les plus affectés par les risques spécifiques;

2. si l’évaluation des risques a été réalisée dans les délais fixés à l’article 34, paragraphe 1, deuxième alinéa, du règlement (UE) 2022/2065 et, le cas échéant, dans les délais fixés pour les activités mises en place en tant que mesures d’atténuation des risques pour la détection des risques systémiques en application de l’article 35, paragraphe 1, point f), dudit règlement;

3. la manière dont le fournisseur audité a identifié les fonctionnalités susceptibles d’avoir une incidence critique sur les risques, pour lesquelles une évaluation des risques est réalisée avant leur déploiement, en application de l’article 34, paragraphe 1, deuxième alinéa, du règlement (UE) 2022/2065; si ces fonctionnalités ont été correctement identifiées et si l’évaluation des risques a été menée de manière appropriée;

4. si le fournisseur audité a correctement identifié les documents justificatifs des évaluations des risques à conserver; s’il a mis en place les moyens nécessaires pour assurer la conservation de ces documents pendant au moins trois ans, conformément à l’article 34, paragraphe 3, du règlement (UE) 2022/2065, et si ces documents ont été conservés en conséquence.

1. les contrôles internes que le fournisseur audité a mis en place pour suivre la réalisation des évaluations des risques pour chacun des facteurs mentionnés à l’article 34, paragraphe 2, premier alinéa, du règlement (UE) 2022/2065; cette évaluation:

   1. est fondée sur des procédures analytiques de corroboration pour ces contrôles internes;

   2. est fondée sur des tests visant à déterminer si ces contrôles internes sont fiables et conçus, exécutés et suivis avec diligence;

   3. évalue la manière dont le ou les responsables de la conformité ont exécuté les tâches qui leur incombent en application de l’article 41, paragraphe 3, points b), d), e) et, le cas échéant, point f), du règlement (UE) 2022/2065 et la manière dont l’organe de direction du fournisseur audité a participé aux décisions relatives à la gestion des risques en application de l’article 41, paragraphes 6 et 7, dudit règlement;

2. les actions, moyens et processus mis en place par le fournisseur audité pour assurer le respect de l’article 34 du règlement (UE) 2022/2065 et leurs résultats; cette évaluation est fondée sur:

   1. des procédures analytiques de corroboration;

   2. des tests, portant notamment sur les systèmes algorithmiques, lorsque l’organisme d’audit a des doutes raisonnables, sur la base des résultats des procédures analytiques de corroboration et de l’évaluation des contrôles internes, ou lorsqu’il juge nécessaire d’effectuer des tests dans le cadre de son choix de méthodes en application de l’article 10, paragraphe 1.

1. le rapport sur l’évaluation des risques pour la période auditée, qui a été élaboré par le fournisseur audité, y compris, le cas échéant, les informations confidentielles qui ne font pas partie des informations publiées en application de l’article 42, paragraphe 2, dudit règlement, ainsi que tous les documents justificatifs;

2. le cas échéant, d’autres rapports sur l’évaluation des risques du fournisseur audité et les documents justificatifs s’y rapportant;

3. les informations communiquées par le fournisseur audité en application de l’article 5;

4. tous les rapports de transparence pertinents du fournisseur audité mentionnés à l’article 15, paragraphe 1, du règlement (UE) 2022/2065:

5. tous autres résultats de tests, documentation, éléments de preuve, déclarations faites en réponse à des questions écrites ou orales adressées par l’organisme d’audit au personnel du fournisseur audité, et observations formulées dans les locaux, le cas échéant;

6. d’autres éléments de preuve pertinents, y compris sur la base d’informations mises à disposition par le fournisseur audité;

7. selon leur disponibilité, les rapports mentionnés à l’article 35, paragraphe 2, du règlement (UE) 2022/2065 et les orientations de la Commission, y compris les lignes directrices publiées conformément à l’article 35, paragraphe 3, dudit règlement, ainsi que toute autre orientation pertinente publiée par la Commission en ce qui concerne l’application du règlement (UE) 2022/2065.

Les informations analysées par l’organisme d’audit peuvent comprendre, en tant que de besoin, les informations mentionnées à l’article 42, paragraphe 4, du règlement (UE) 2022/2065, y compris celles provenant des rapports d’audit, des rapports sur l’évaluation des risques et l’atténuation des risques, concernant d’autres très grandes plateformes en ligne ou très grands moteurs de recherche en ligne, ou les données et résultats de recherches mis à la disposition du public par des chercheurs agréés en application de l’article 40, paragraphe 8, point g), du règlement.