Article considérant 25

(25) Le choix des méthodes devrait être adapté aux risques de non-contrôle liés aux mesures de conformité mises en place par le fournisseur audité, ainsi qu’aux risques de non-détection, c’est-à-dire le risque que l’organisme d’audit ne détecte pas des inexactitudes dans les informations que le fournisseur met à sa disposition. Par exemple, lorsqu’une obligation auditée comprend l’audit d’un système algorithmique fondé sur la personnalisation du service audité pour chacun de ses destinataires et sur des mises à jour récurrentes du système algorithmique, comme c’est le cas des obligations d’information applicables aux systèmes de recommandation énoncées à l’article 27 du règlement (UE) 2022/2065, le choix de la méthode devrait permettre à l’organisme d’audit de mettre au point les tests appropriés pour réduire au minimum les risques de non-détection. De même, lorsque l’organisme d’audit cherche à évaluer si tous les risques pertinents ont été atténués dans la conception, le fonctionnement et l’utilisation d’applications fondées sur des modèles linguistiques à grande échelle, tels que des fonctionnalités de discussion ou des systèmes de recommandation déployés par le fournisseur audité, l’organisme d’audit devrait d’abord évaluer le caractère approprié des contrôles mis en place par le fournisseur. Le choix des tests devrait se faire en fonction de la solidité de ces contrôles internes. En particulier, à titre d’exemple, lorsque les contrôles internes ne sont pas stricts ni complets ou qu’ils ne permettent pas de conclure si les règles sont respectées au regard de l’ensemble des destinataires du service audité, les procédures d’audit devraient s’appuyer sur une combinaison de méthodes. Ces méthodes pourraient comprendre, par exemple, des procédures analytiques de corroboration, telles que l’analyse des interactions entre tous les systèmes algorithmiques intervenant dans les systèmes de recommandation, des règles et processus de prise de décision connexes visant à définir les principaux paramètres de ces systèmes de recommandation, ainsi que l’examen des enregistrements numériques et des fichiers journaux. Les méthodes devraient également comprendre des tests du système, tels que des tests en environnements simulés.