Regolamento (UE) 2024/436

Oggetto e struttura delle regole di revisione

L’articolo 1 stabilisce che il regolamento disciplina, ai sensi dell’articolo 37 del regolamento (UE) 2022/2065, le procedure per verificare che l’organizzazione di revisione soddisfi i requisiti di cui all’articolo 37, paragrafo 3; la cooperazione e l’assistenza del fornitore sottoposto a revisione; la definizione e selezione delle metodologie di revisione; i modelli della relazione di revisione e della relazione di attuazione della revisione.

Definizioni operative

L’articolo 2 introduce nozioni chiave, tra cui organizzazione di revisione, servizio sottoposto a revisione, fornitore sottoposto a revisione, obbligo o impegno sottoposto a revisione, criteri di revisione, prove di revisione, inesattezza, rischio di revisione, rischio intrinseco, rischio di controllo, rischio di mancata rilevazione, soglia di rilevanza, livello di garanzia ragionevole, controllo interno, ricercatore abilitato, procedura di revisione, sperimentazione e procedura analitica sostanziale.

Periodo di riferimento e cadenza della revisione

L’articolo 3 prevede che la revisione copra un periodo tale da consentire una valutazione con livello di garanzia ragionevole di tutti gli obblighi e impegni sottoposti a revisione. Il periodo successivo decorre immediatamente dopo la conclusione del periodo precedente; in assenza di revisioni precedenti, inizia quattro mesi dopo la notifica di cui all’articolo 33, paragrafo 6, primo comma, del regolamento (UE) 2022/2065 e deve consentire il completamento della relazione entro un anno dall’inizio del periodo di revisione.

Selezione dell’organizzazione di revisione e verifica dei requisiti

L’articolo 4 impone al fornitore di verificare, prima della selezione, che l’organizzazione di revisione soddisfi l’articolo 37, paragrafo 3, del regolamento (UE) 2022/2065. Se l’organizzazione è composta da più persone giuridiche o ricorre a subappaltatori, il fornitore deve verificare il rispetto individuale dei requisiti di indipendenza e assenza di conflitti di interessi e il rispetto congiunto del requisito di competenza, esperienza e risorse tecniche.

Cooperazione, assistenza e accesso alle informazioni

L’articolo 5 obbliga il fornitore a trasmettere prima delle procedure di revisione informazioni sui controlli interni, sugli indicatori e parametri di riferimento, sull’analisi preliminare dei rischi e sulle strutture decisionali, sui sistemi informatici e algoritmici. Il fornitore deve inoltre garantire accesso senza indebiti ritardi a dati, documenti, procedure, processi, sistemi informatici, ambienti di prova, personale e locali, anche presso subappaltatori o terzi detentori di informazioni pertinenti.

Relazioni di revisione e modelli standard

L’articolo 6 stabilisce che la relazione di revisione sia redatta senza interferenze del fornitore secondo il modello dell’allegato I e che, ove applicabile, la relazione di attuazione della revisione segua il modello dell’allegato II. Le relazioni devono contenere conclusioni dettagliate e motivate su tutti gli elementi del modello.

Accordo scritto di preparazione alla revisione

L’articolo 7 richiede un accordo scritto tra fornitore e organizzazione di revisione che disciplini l’elenco completo degli obblighi e impegni oggetto di revisione, le responsabilità di ciascuna persona giuridica coinvolta, i canali di accesso ai dati, le tempistiche della revisione e una procedura di risoluzione delle controversie. L’accordo e le eventuali lettere di incarico devono essere allegati alla relazione; ogni modifica intervenuta in corso di revisione va indicata nella relazione.

Esito della revisione, giudizio e raccomandazioni

L’articolo 8 definisce le conclusioni per ciascun obbligo o impegno: positiva, positiva con osservazioni o negativa. Le raccomandazioni operative, se presenti, devono essere specifiche per ciascun obbligo o impegno con esito non pienamente positivo e, se contengono misure specifiche, devono spiegare l’effetto sulla soglia di rilevanza. La relazione deve poi esprimere un giudizio complessivo sugli obblighi e uno o più giudizi sugli impegni assunti nei codici di condotta o protocolli di crisi; se non è possibile raggiungere un livello di garanzia ragionevole, la relazione deve spiegarne le ragioni.

Analisi dei rischi di revisione

L’articolo 9 impone una valutazione motivata dei rischi di revisione prima delle procedure e l’aggiornamento durante la revisione. L’analisi deve considerare rischi intrinseci, di controllo e di mancata rilevazione, tenendo conto della natura del servizio, del contesto socio-economico, di eventuali crisi o eventi inattesi, delle revisioni precedenti, delle relazioni del comitato europeo per i servizi digitali, degli orientamenti della Commissione e di relazioni di revisione di servizi simili.

Metodologie di revisione e criteri di selezione

L’articolo 10 richiede metodologie adeguate a ridurre i rischi di revisione a un livello compatibile con un giudizio a garanzia ragionevole. La relazione deve indicare i criteri di revisione, la soglia di rilevanza e le sperimentazioni e procedure analitiche sostanziali previste; le metodologie possono essere adattate in caso di dubbi ragionevoli sulle informazioni ricevute. Sono previste procedure minime: valutazione dei controlli interni, procedure sostanziali, sperimentazioni, e verifica dell’assenza di errori materiali o omissioni nelle informazioni pubbliche dovute al regolamento.

Qualità delle prove e campionamento

Gli articoli 11 e 12 richiedono che le prove siano pertinenti, sufficienti e affidabili, e che l’eventuale campionamento sia rappresentativo e finalizzato a ridurre al minimo il rischio di mancata rilevazione. La relazione deve motivare dimensione e metodo del campione, tenendo conto del periodo di revisione, delle modifiche del servizio e del contesto, delle specificità dei sistemi algoritmici e delle tutele per minori e altri gruppi vulnerabili.

Metodologie specifiche per valutazione del rischio, attenuazione e crisi

Gli articoli 13, 14 e 15 dettano criteri specifici per la revisione degli articoli 34, 35 e 36 del regolamento (UE) 2022/2065. Per la valutazione del rischio si esaminano individuazione, analisi e valutazione dei rischi sistemici, tempistiche, conservazione dei documenti e affidabilità dei controlli interni. Per l’attenuazione dei rischi si verifica l’individuazione delle misure, la loro applicabilità, ragionevolezza, proporzionalità ed efficacia, con attenzione ai diritti fondamentali. Per il meccanismo di risposta alle crisi si verifica l’individuazione dei sistemi e delle misure richieste, la loro adeguatezza, efficacia e proporzionalità, nonché il rispetto di eventuali prescrizioni specifiche della decisione della Commissione.

Revisione dell’articolo 37 e dei codici di condotta/protocolli di crisi

L’articolo 16 precisa che la conformità agli obblighi di revisione va valutata rispetto alla revisione o alle revisioni del periodo annuale precedente e che la revisione in corso include anche il controllo del dovere di cooperazione ex articolo 37, paragrafo 2. Se la stessa organizzazione o una sua componente ha partecipato alla revisione precedente, la relazione deve spiegare le misure adottate per garantire obiettività. L’articolo 17 disciplina la revisione degli impegni volontari nei codici di condotta e nei protocolli di crisi, imponendo al fornitore di mettere a disposizione testi, elenco degli impegni, KPI, dati e documentazione pertinenti.

Modelli allegati e informazioni da includere

Gli allegati I e II forniscono modelli dettagliati per la relazione di revisione e la relazione di attuazione, comprensivi di sezioni su organizzazione di revisione, qualifiche, indipendenza, norme applicate, soggetti terzi consultati, eventuali limitazioni e allegati documentali. Il modello della relazione di revisione richiede anche l’indicazione di documenti relativi ai requisiti di indipendenza, all’analisi dei rischi, alle sperimentazioni, ai codici di condotta e ai protocolli di crisi.

Entrata in vigore e applicabilità

L’articolo 18 dispone che il regolamento entri in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea ed è obbligatorio in tutti i suoi elementi e direttamente applicabile in ciascuno degli Stati membri.