Art. 5 Samarbete och bistånd mellan den leverantör som är föremål för revision och revisionsföretaget | Performance of independent audits | DSA

This article sets out the cooperation and disclosure obligations that fall on the audited provider in relation to the auditing organisation.

It establishes a broad duty of transparency and access, requiring the audited provider to hand over foundational information before the audit begins, and then to maintain full openness throughout the process.

This article connects directly to the auditing organisation's ability to carry out its work under Article 37 of Regulation (EU) 2022/2065, effectively ensuring the auditor has everything it needs to reach its conclusions.

Important points:

Transmit to the auditing organisation, before any audit procedure begins, a description of internal controls, any preliminary risk analysis, and information on decision-making structures, IT systems, and algorithmic systems.
Grant the auditing organisation access, without undue delay, to all data necessary for the audit, including personal data, IT systems, testing environments, personnel, premises, and relevant sub-contractors.
Make all necessary resources available to support the auditing organisation, including where relevant information is held by a third-party contracted by the audited provider.

1. Vid en tidpunkt som överenskoms med revisionsföretaget, och under alla omständigheter före utförandet av något revisionsförfarande, ska den leverantör som är föremål för revision tillhandahålla det utvalda revisionsföretaget åtminstone följande uppgifter:
  1. En beskrivning av de interna kontroller som införts avseende varje skyldighet och åtagande som revisionen avser, inbegripet relaterade indikatorer och alla aktuella och historiska mätningar, och riktmärken som används av den leverantör som revisionen avser för att bedöma eller övervaka uppfyllandet av de skyldigheter och åtaganden som revisionen avser, samt eventuella styrkande handlingar.
  2. Dess preliminära analys av inneboende risker och kontrollrisker, om leverantören har gjort en sådan analys, samt eventuella styrkande handlingar.
  3. Uppgifter om eventuella relevanta beslutsstrukturer, behörighetsområden för leverantörens avdelningar, inbegripet funktionen för regelefterlevnad i enlighet med artikel 41 i förordning (EU) 2022/2065, relevanta it-system, datakällor, behandling och lagring, samt förklaringar av relevanta algoritmiska system och deras interaktioner.
1. Den leverantör som är föremål för revision ska, utan onödigt dröjsmål, ge revisionsföretaget tillgång till alla uppgifter som krävs för utförandet av revisionen, inklusive personuppgifter, dokument och information om förfaranden och processer, samt till leverantörens och eventuella underleverantörers it-system, testmiljöer, personal och lokaler.
1. Den leverantör som revisionen avser ska göra alla nödvändiga resurser tillgängliga och ge revisionsföretaget det bistånd och de förklaringar som det behöver för att analysera den berörda informationen och utföra tester, inbegripet när de uppgifter som begärts av revisionsföretaget i enlighet med artikel 37.3 i förordning (EU) 2022/2065 innehas av en tredje part som anlitas av den leverantör som revisionen avser.