Art. 5 Coopération et assistance entre le fournisseur audité et l’organisme d’audit | Performance of independent audits | DSA

This article sets out the cooperation and disclosure obligations that fall on the audited provider in relation to the auditing organisation.

It establishes a broad duty of transparency and access, requiring the audited provider to hand over foundational information before the audit begins, and then to maintain full openness throughout the process.

This article connects directly to the auditing organisation's ability to carry out its work under Article 37 of Regulation (EU) 2022/2065, effectively ensuring the auditor has everything it needs to reach its conclusions.

Important points:

Transmit to the auditing organisation, before any audit procedure begins, a description of internal controls, any preliminary risk analysis, and information on decision-making structures, IT systems, and algorithmic systems.
Grant the auditing organisation access, without undue delay, to all data necessary for the audit, including personal data, IT systems, testing environments, personnel, premises, and relevant sub-contractors.
Make all necessary resources available to support the auditing organisation, including where relevant information is held by a third-party contracted by the audited provider.

1. À un moment convenu avec l’organisme d’audit et, en tout état de cause, avant la mise en œuvre de toute procédure d’audit, le fournisseur audité transmet à l’organisme d’audit sélectionné au moins les informations suivantes:
  1. une description des contrôles internes mis en place pour chaque obligation et engagement audité, y compris les indicateurs connexes et toutes les mesures actuelles et historiques, ainsi que les critères de référence utilisés par le fournisseur audité pour établir ou contrôler le respect des obligations et engagements audités, ainsi que tout document justificatif;
  2. son analyse préliminaire des risques inhérents et des risques de non-contrôle, lorsque le fournisseur audité a effectué une telle analyse, ainsi que tout document justificatif;
  3. des informations sur les structures décisionnelles pertinentes, les compétences des services du fournisseur, y compris la fonction de vérification de la conformité conformément à l’article 41 du règlement (UE) 2022/2065, les systèmes informatiques, les sources de données, le traitement et le stockage pertinents, ainsi que des explications sur les systèmes algorithmiques pertinents et leurs interactions.
1. Sans retard injustifié, le fournisseur audité donne à l’organisme d’audit un accès à toutes les données nécessaires à la réalisation de l’audit, y compris les données à caractère personnel, la documentation, les informations sur les procédures et les processus, ainsi qu’aux systèmes informatiques, aux environnements de test, à son personnel et à ses locaux, ainsi qu’à tout sous-traitant concerné.
1. Le fournisseur audité met à la disposition de l’organisme d’audit toutes les ressources nécessaires et lui fournit l’assistance et les explications nécessaires pour lui permettre d’analyser les informations pertinentes et d’effectuer des tests, y compris lorsque les informations demandées par l’organisme d’audit conformément à l’article 37, paragraphe 3, du règlement (UE) 2022/2065 sont détenues par un tiers ayant un lien contractuel avec le fournisseur audité.