Art. 10 Lämpliga revisionsmetoder | Performance of independent audits | DSA

This article establishes the framework for how auditing organisations must select and apply audit methodologies throughout the audit process.

Operating as a general methodology article — subject to the more specific rules in Articles 13, 14, and 15 — it requires that methodologies be appropriate to reduce audit risks to a level that supports conclusions at a reasonable level of assurance.

Importantly, the article is not static: it requires methodologies to be documented upfront, but also adapted during the audit if reasonable doubts arise about the information provided by the audited provider.

It sets out a minimum floor of audit procedures that must always be performed, including tests and substantive analytical procedures covering internal controls and algorithmic systems.

Important points:

Auditing organisations must document their chosen methodologies before beginning audit procedures, and record any changes made during the audit, including the audit criteria, materiality threshold, and intended tests and procedures.
Auditing organisations are required to adapt their methodology if reasonable doubts arise — triggered by professional scepticism, external signals such as Commission guidance or Board reports, or events like crisis situations occurring during the audit.
Audit procedures must always include, as a minimum, tests and substantive analytical procedures on internal controls, compliance assessments covering algorithmic systems, and additional tests where reasonable doubts exist or the methodology demands it.

1. Utan att det påverkar tillämpningen av de särskilda revisionsmetoder som fastställs i artiklarna 13, 14 och 15 ska revisionerna utföras genom användning av lämpliga revisionsmetoder för att begränsa de fastställda revisionsriskerna till en nivå som gör det möjligt för revisionsföretaget att dra revisionsslutsatser med rimlig tillförlitlighetsnivå.
1. Revisionsrapporten ska innehålla en beskrivning av de revisionsmetoder som utarbetats av revisionsföretaget innan några revisionsförfaranden utförs och den ska åtminstone omfattar följande:
  1. Revisionskriterierna för att bedöma uppfyllandet av varje skyldighet eller åtagande som revisionen avser, definierade på grundval av uppgifter enligt artikel 5.1 a, samt den godtagbara väsentlighetsnivån uttryckt i kvalitativa eller kvantitativa termer enligt vad som är lämpligt.
  2. Alla tester, materiella analytiska förfaranden och revisionsbevis som revisionsföretaget avser använda för att bedöma uppfyllandet av varje skyldighet eller åtagande som revisionen avser.
2. Revisionsrapporten ska innehålla en beskrivning av eventuella ändringar som gjorts av de metoder som användes under utförandet av revisionen jämfört med de metoder som utformades före utförandet av revisionsförfarandena.
1. Om ett revisionsföretag hyser rimliga tvivel beträffande de uppgifter som granskas under utförandet av revisionen, i synnerhet när det gäller uppgifter som lämnats av den leverantör som är föremål för revision, ska valet och tillämpningen av metod anpassas för att revisionsföretaget ska kunna inhämta de revisionsbevis som behövs enligt artikel 11.
1. De rimliga tvivel som avses i punkt 3 ska anses föreligga i synnerhet när något av följande element förekommer:
  1. Yrkesmässig bedömning och skepsis vid bedömning av uppgifter, bland annat när det gäller de interna kontrollerna hos den leverantör som revisionen avser, som får revisionsföretaget att uttrycka rimligt tvivel.
  2. Externa indikationer som pekar på revisionsrisker, i synnerhet rapporter från den europeiska nämnden för digitala tjänster enligt artikel 35.2 i förordning (EU) 2022/2065, vägledning från kommissionen, inbegripet i form av riktlinjer enligt artikel 35.3 i den förordningen, och eventuella annan relevant vägledning som utfärdats av kommissionen med avseende på tillämpningen av förordning (EU) 2022/2065, samt revisionsrapporter som utfärdats enligt de uppförandekoder eller krisprotokoll som avses i artiklarna 45, 46 och 48 i den förordningen.
  3. Uppgifter som rör händelser som uppstår under utförandet av revisionen, inbegripet krissituationer, som kräver ytterligare åtgärder från den leverantör som är föremål för revision för att uppfylla vissa av de skyldigheter eller åtaganden som revisionen avser.
1. Revisionsförfarandena ska omfatta åtminstone följande:
  1. Utförande av tester och materiella analytiska förfaranden för de interna kontroller som införts av den leverantör som är föremål för revision för varje skyldighet eller åtagande som revisionen avser.
  2. Utförande av materiella analytiska förfaranden för att bedöma uppfyllandet av varje skyldighet och åtagande som revisionen avser, bland annat när det gäller algoritmiska system.
  3. Utförande av tester, bland annat när det gäller algoritmiska system, avseende de skyldigheter och åtaganden som revisionen avser och som revisionsföretaget hyser rimliga tvivel om, enligt punkt 4, samt avseende de skyldigheter och åtaganden som revisionen avser och för vilka revisionsföretaget anser det nödvändigt att utföra tester enligt sitt val av metod enligt punkt 1.
1. Om de skyldigheter eller åtaganden som avses i artikel 37.1 i förordning (EU) 2022/2065 innebär att den leverantör som revisionen avser måste offentliggöra vissa uppgifter ska revisionsmetoderna innefatta en bedömning av om dessa uppgifter saknar materiella fel eller utelämnanden som annars skulle kunna göra dem vilseledande.