Art. 8 Avis d’audit, conclusions de l’audit et recommandations | Performance of independent audits | DSA

This is a substantive article that defines how the auditing organisation must structure and express its findings in the audit report.

It establishes a clear taxonomy of outcomes — positive, positive with comments, or negative — that applies at two levels: first at the granular level of individual obligations and commitments, and then rolled up into an overall audit opinion.

It also sets out how operational recommendations must be framed when conclusions fall short of fully positive, and provides a fallback rule for situations where the auditing organisation cannot reach a reasonable level of assurance at all.

The article connects closely to Article 37 of Regulation (EU) 2022/2065, which is the parent provision requiring independent audits of very large online platforms and search engines.

Important points:

The auditing organisation must express each audit conclusion as positive, positive with comments, or negative — and the overall audit opinion is directly determined by the worst-performing individual conclusion.
Where conclusions are positive with comments or negative, any operational recommendations included must be specific to each relevant obligation or commitment and explain their impact relative to the materiality threshold.
Where a reasonable level of assurance cannot be achieved, the audit report must include a documented explanation of the circumstances and reasons.

1. Le rapport d’audit comprend les conclusions que tire l’organisme d’audit quant au respect, par le fournisseur audité, de chaque obligation et engagement audité. Les conclusions de l’audit peuvent être:
  1. «positives», lorsque l’organisme d’audit conclut, avec un niveau d’assurance raisonnable, que le fournisseur audité a respecté une obligation ou un engagement audité; ou
  2. «positives et assorties de commentaires», lorsque l’organisme d’audit conclut, avec un niveau d’assurance raisonnable, que le fournisseur audité a respecté une obligation ou un engagement audité, mais:
    l’organisme d’audit formule des observations sur les critères de référence communiqués par le fournisseur audité conformément à l’article 5, paragraphe 1, point a); ou
    l’organisme d’audit recommande des améliorations qui n’ont pas d’effet significatif sur sa conclusion;
  3. «négatives», lorsque l’organisme d’audit conclut, avec un niveau d’assurance raisonnable, que le fournisseur audité n’a pas respecté une obligation ou un engagement audité.
1. Lorsqu’un rapport d’audit contient des recommandations opérationnelles conformément à l’article 37, paragraphe 4, point h), du règlement (UE) 2022/2065, ces recommandations et leur calendrier recommandé sont spécifiques à chaque obligation ou engagement audité pour lequel les conclusions de l’audit conformément au paragraphe 1 sont «positives et assorties de commentaires» ou «négatives».
1. Lorsque les recommandations opérationnelles mentionnées au paragraphe 2 comprennent des mesures spécifiques à prendre pour la mise en conformité, elles sont formulées de sorte à expliquer l’évaluation réalisée par l’organisme d’audit de la manière dont ces mesures affecteraient le seuil de signification par rapport aux conclusions de l’audit pour l’obligation ou l’engagement audité concerné.
1. Sur la base des conclusions de l’audit, le rapport d’audit comprend un avis d’audit sur le respect, par le fournisseur audité, de toutes les obligations auditées mentionnées à l’article 37, paragraphe 1, point a), du règlement (UE) 2022/2065.
1. Sur la base des conclusions relatives à tous les engagements audités, le rapport d’audit comprend un ou plusieurs avis d’audit, selon le cas, sur le respect, par le fournisseur audité, de tous les engagements audités qu’a pris le fournisseur audité en vertu de chaque code de conduite et de chaque protocole de crise mentionnés à l’article 37, paragraphe 1, point b), du règlement (UE) 2022/2065.
1. Les avis d’audit rendus conformément aux paragraphes 4 et 5 sont:
  1. «positifs» si l’organisme d’audit est parvenu à une conclusion d’audit «positive» pour l’ensemble des obligations ou engagements audités; ou
  2. «positifs assortis de commentaires» si l’organisme d’audit est parvenu à au moins une conclusion d’audit «positive assortie de commentaires» pour une obligation ou un engagement audité et n’est parvenu à aucune conclusion d’audit «négative» pour aucune obligation ou aucun engagement audité; ou
  3. «négatifs» si l’organisme d’audit est parvenu à une conclusion d’audit «négative» pour au moins une obligation ou un engagement audité.
1. Lorsque l’organisme d’audit évalue que, pendant une période limitée au cours de la période mentionnée à l’article 3, paragraphe 2, le fournisseur n’a pas respecté une obligation ou un engagement audité, le rapport d’audit décrit dûment cette évaluation.
1. Lorsque l’organisme d’audit ne peut émettre avec un niveau d’assurance raisonnable ni une conclusion d’audit conformément au paragraphe 1 ni un avis d’audit conformément aux paragraphes 4 et 5, le rapport d’audit comprend une explication des circonstances et des raisons pour lesquelles ce niveau d’assurance n’a pas pu être atteint.