Art. 9 Analyse des Prüfrisikos | Performance of independent audits | DSA

This article establishes the requirements for the audit risk analysis that the auditing organisation must conduct and include in its audit report.

It feeds directly into Article 10, which governs the selection of audit methodologies, as the risk analysis is a prerequisite that shapes how the audit is subsequently designed and performed.

The core thrust is that risk analysis is not a one-time exercise — it must be done before audit procedures begin and kept live throughout the audit as new evidence emerges.

The article also sets out a broad contextual lens for conducting that analysis, requiring the auditing organisation to look beyond the provider itself and draw on wider sources such as regulatory guidance and peer audit reports.

Important points:

The auditing organisation must conduct an audit risk analysis covering inherent risks, control risks, and detection risks for each audited obligation or commitment.
The risk analysis must be completed before any audit procedures begin and updated during the audit whenever new evidence materially changes the risk assessment.
The auditing organisation must factor in the broader context, including the societal and economic environment of the service, prior audits, Commission guidance, and audit reports from comparable platform or search engine providers.

1. Der Prüfbericht enthält eine fundierte Analyse des Prüfrisikos, die von der Prüfstelle durchgeführt wird, um zu bewerten, ob der geprüfte Anbieter jede geprüfte Pflicht oder Verpflichtungszusage einhält.
1. Die Analyse des Prüfrisikos erfolgt vor der Durchführung von Prüfverfahren und wird während der Durchführung der Prüfung unter Berücksichtigung neuer Prüfbelege aktualisiert, die nach dem fachlichen Urteil der Prüfstelle die Bewertung des Prüfrisikos wesentlich verändern.
1. Die Analyse des Prüfrisikos trägt folgenden Faktoren Rechnung:
  1. inhärente Risiken;
  2. Kontrollrisiken;
  3. Aufdeckungsrisiken.
1. Bei der Durchführung der Analyse des Prüfrisikos wird Folgendes berücksichtigt:
  1. die Art des geprüften Dienstes und der gesellschaftliche und wirtschaftliche Kontext, in dem der geprüfte Dienst betrieben wird, einschließlich der Wahrscheinlichkeit und Schwere einer Exposition gegenüber Krisensituationen und unerwarteten Ereignissen;
  2. die Art der Pflichten und Verpflichtungszusagen;
  3. sonstige zweckdienliche Informationen, darunter
    gegebenenfalls Informationen aus früheren Prüfungen, denen der geprüfte Dienst unterzogen wurde;
    gegebenenfalls Informationen aus Berichten des Europäischen Gremiums für digitale Dienste oder von der Kommission nach Artikel 35 Absätze 2 und 3 der Verordnung (EU) 2022/2065 herausgegebenen Leitlinien und anderen einschlägigen Orientierungshilfen der Kommission in Bezug auf die Anwendung der Verordnung (EU) 2022/2065;
    gegebenenfalls Informationen aus Prüfberichten, die nach Artikel 42 Absatz 4 der Verordnung (EU) 2022/2065 von anderen Anbietern sehr großer Online-Plattformen oder sehr großer Online-Suchmaschinen, die unter ähnlichen Bedingungen betrieben werden oder ähnliche Dienstleistungen wie der geprüfte Dienst erbringen, veröffentlicht wurden.