Förberedelser inför CSRD-granskning: En revisors syn på dubbel väsentlighet, Scope 3 och beredskap inför ESRS

I takt med att organisationer vidareutvecklar sitt arbete med CSRD-rapportering är det avgörande att förstå vilka krav som ställs på verifiering. Under ett webbinarium nyligen delade Danielle Stapleton, programchef för ESG-granskning, med sig av en revisors perspektiv på vad granskare kommer att titta efter, bland annat styrningsstrukturer, interna kontroller, dokumentationsrutiner, datakvalitet och den dokumentation som krävs för att underbygga rapporterade upplysningar. Som en uppföljning av vårt webbinarium besvarar Danielle nu ytterligare en serie frågor om CSRD och de mer omfattande europeiska standarderna för hållbarhetsrapportering (ESRS).

Vilka är de största utmaningarna för företag när det gäller att förbereda sig inför CSRD-granskningen?

En av de största utmaningarna för organisationer när de förbereder sig inför CSRD-granskningen är datainsamlingen. Många företag ombeds att rapportera om hållbarhetsfrågor som sträcker sig långt utöver vad de tidigare har mätt, övervakat eller redovisat. Detta omfattar ofta information om miljö, sociala frågor, bolagsstyrning och värdekedjan, som kan finnas spridd på olika avdelningar inom organisationen.

Utmaningen ligger inte enbart i att samla in data. Organisationerna måste också upprätthålla en fullständig verifieringskedja som visar var informationen kommer ifrån, vem som äger den, hur den har beräknats och vilka underlag som finns. För företag som är nya inom hållbarhetsrapportering kan dessa krav kännas överväldigande, eftersom de ofta innebär att man måste sammanställa information från verksamheten, personalavdelningen, inköpsavdelningen, ekonomiavdelningen, den juridiska avdelningen och externa leverantörer.

Ur ett revisionsperspektiv är en av de vanligaste bristerna inte nödvändigtvis felaktiga uppgifter, utan otillräcklig dokumentation. Team kan ha utfört arbetet och kommit fram till rimliga slutsatser, men de kan inte tydligt visa hur dessa slutsatser nåddes. Revisorerna letar alltid efter underlag som styrker den redovisade informationen och som gör det möjligt för dem att spåra ledningens beslut.

Hur kan organisationer förbättra kvaliteten och tillförlitligheten i sina ESG-uppgifter innan de ansöker om verifiering?

Revisorerna kan inte föreskriva hur företagen ska förbättra sina rapporteringsprocesser, men de kan förklara vad de letar efter. Det viktigaste kriteriet är spårbarhet. Revisorer vill kunna koppla den redovisade informationen direkt till underlag. När det gäller upplysningar om arbetstagarnas hälsa och säkerhet kan detta omfatta incidentrapporter, säkerhetsledningssystem och dokumentation över korrigerande åtgärder. För utsläpp av växthusgaser kan revisorerna granska fakturor, energiförbrukningsregister, beräkningsfiler och dokumentation över utsläppsfaktorer. En gedigen ESG-rapportering bygger på repeterbara, dokumenterade processer snarare än fristående beräkningar.

När det gäller icke-traditionella mätvärden kan uppgifterna ofta finnas hos de som ansvarar för leveranskedjan eller hos andra avdelningar, till exempel personal- och löneavdelningarna. Dessa är inte typiska källor för en revision av växthusgasutsläpp och kräver en del arbete från organisationens sida för att sätta andra team in i de tidsramar och den spårbarhet som krävs för en revision. En gedigen ESG-rapportering bygger på repeterbara, dokumenterade processer snarare än på enstaka beräkningar. 

Vilken roll spelar interna kontroller och bolagsstyrning för att uppnå en framgångsrik CSRD-granskning?

Interna kontroller är en viktig faktor för revisorernas förtroende. Revisorerna bedömer hur data matas in i rapporteringssystemen, vem som granskar dem, hur ändringar godkänns och om styrningsstrukturerna främjar dataintegriteten. Organisationer med väl definierade roller, dokumenterade kontroller och ledningens tillsyn har vanligtvis en starkare grund för säkerhetsbedömningen. Även om revisorerna inte kan ge råd om specifika tillvägagångssätt för implementering, ingår styrning och kontroller ofta bland de första områdena som utvärderas under säkerhetsbedömningsförfarandena.

Hur kan företag omvandla efterlevnaden av CSRD till en strategisk fördel istället för att det bara ska vara en lagstadgad skyldighet?

Många organisationer betraktar CSRD inledningsvis som ett rapporteringskrav, men CSRD kan skapa värde utöver själva efterlevnaden. Utöver de obligatoriska kraven innehåller CSRD-ramverket även frivilliga rapporteringsstandarder som kan hjälpa organisationer att redovisa sina hållbarhetsresultat på ett sätt som står i proportion till deras storlek och mognadsgrad. 

Hållbarhetsrapportering avslöjar ofta möjligheter till energibesparingar, effektivitetsförbättringar i verksamheten, hantering av leverantörsrisker och resursoptimering. Bedömningen av dubbel väsentlighet kan identifiera nya affärsrisker och möjligheter, vilket hjälper ledningen att fatta mer välgrundade beslut och anpassa hållbarhetsinitiativen till företagets strategi. Organisationer satsar också i allt högre grad på frivillig rapportering eftersom marknadens förväntningar och konkurrenternas informationsgivning höjer ribban inom alla branscher. 

Hur kan organisationer förbättra kvaliteten och tillförlitligheten hos ESG-data innan de söker granskning?

Det viktigaste kännetecknet för ESG-data av hög kvalitet är spårbarhet. Revisorerna vill ha en klar bild av hur de redovisade nyckeltalen kan kopplas till underliggande underlag.

Om ett företag redovisar nyckeltal för arbetssäkerhet kan revisorerna granska incidentrapporter, säkerhetsledningssystem, dokumentation över korrigerande åtgärder, utbildningsregister och underlagsdokumentation. Om ett företag redovisar utsläpp av växthusgaser kan revisorerna granska fakturor från energileverantörer, bränsleförbrukningsregister, beräkningsfiler, utsläppsfaktorer och rutiner för ledningens granskning.

Oavsett ämne är den centrala frågan alltid densamma: kan organisationen redogöra för hur informationen har tagits fram och lägga fram belägg som styrker dess riktighet? En gedigen ESG-rapportering bygger på repeterbara processer snarare än på enstaka beräkningar.

Vilken roll spelar interna kontroller och styrning för att uppnå en framgångsrik CSRD-granskning?

Internkontroll och styrning är grundläggande för framgångsrika revisionsresultat, eftersom de bidrar till att skapa förtroende för den redovisade informationens integritet, fullständighet och tillförlitlighet. Revisorerna utvärderar inte bara själva redovisningen utan även den process som används för att samla in, granska, godkänna och underhålla de underliggande uppgifterna.

Organisationer bör kunna redogöra för ägarförhållanden, granskningsrutiner, ledningens tillsyn och ansvarsstrukturer. Styrning är ofta ett av de första områdena som granskas vid en säkerhetsgranskning, eftersom den påverkar förtroendet för alla redovisade nyckeltal.

Hur kan företag omvandla efterlevnaden av CSRD till en strategisk fördel istället för att det bara ska vara en lagstadgad skyldighet?

CSRD kan skapa värde utöver själva efterlevnaden. Rapporteringsprocessen avslöjar ofta möjligheter till effektivitetsvinster, kostnadsbesparingar, riskhantering avseende leverantörer och förbättrad operativ prestanda.

Bedömningen av dubbel väsentlighet kan ge insikter om nya risker och möjligheter som kanske inte har identifierats genom traditionella riskhanteringsprocesser. Organisationer som använder CSRD som ett styrningsramverk snarare än en rapporteringsövning upptäcker ofta möjligheter till bättre beslutsfattande och långsiktigt värdeskapande.

Dubbel väsentlighet: Fokusera på processen, inte bara på resultaten.

Revisorer lägger i allmänhet mindre vikt vid resultatet av en dubbel väsentlighetsbedömning än vid den process som använts för att nå fram till slutsatserna. Organisationer bör tydligt dokumentera samrådet med intressenterna, det granskade underlaget, de effekter på värdekedjan som beaktats samt hur besluten fattades. Under hela processen bör teamen ställa sig frågan hur de ska kunna redovisa och försvara sina slutsatser under revisionsarbetet.

Vilka underlag krävs för upplysningar enligt ESRS E1?

Det krävs inte att uppgifterna är helt korrekta, särskilt när det gäller Scope 3-utsläpp där uppskattningar ofta är nödvändiga. Organisationer bör dock föra noggrann dokumentation över datakällor, antaganden, utsläppsfaktorer, metoder och beräkningssätt. Det mest effektiva sättet att försvara ett redovisat värde är en fullständig och transparent verifieringskedja.

Inför de interna kontrollrutiner som revisorerna förväntar sig.

Viktiga kontrollåtgärder omfattar spårbarhet av data, enhetlig metodik, dokumenterade dubbla väsentlighetsbedömningar, formella riskbedömningar och granskningsförfaranden. Revisorerna vill se att organisationerna konsekvent kan återge sina upplysningar och förklara eventuella förändringar i metodiken över tid.

Övergångsplaner kräver mer än bara beskrivningar.

Informationen i övergångsplanerna bör underbyggas av dokumenterade godkännandeprocesser, styrelseövervakning, klimatmål, referensår, metoder, riktlinjer för omberäkning, scenarioanalyser, genomförandeåtgärder och övervakningsaktiviteter. Organisationerna bör dessutom bevara underlag för påståenden som rör koldioxidkrediter, koldioxidupptag och färdplaner för nettonollutsläpp.

Förberedelser inför granskning kontra oberoende granskning

Stödet för förberedelser inför granskning är utformat för att hjälpa ledningen att identifiera brister och förbereda sig inför framtida granskningar. En oberoende granskning utvärderar den information som ledningen har sammanställt och resulterar i en formell slutsats. Förberedelserna hjälper till att identifiera brister, medan granskningen bedömer om rapporteringen är underbyggd.

Scope 3-rapportering och leverantörsdata

Organisationer går bortom kostnadsbaserade uppskattningar och samarbetar i allt högre grad direkt med leverantörerna. ESRS konstaterar att uppskattningar kommer att förbli nödvändiga, men att företagen bör kunna redogöra för metoder, antaganden och datakällor. CSRD kräver inte data från varje enskild leverantör. Rapporteringen bör istället inriktas på att inhämta tillräcklig information för att förstå och redovisa väsentliga effekter, risker och möjligheter.

AI-etik och dataskydd

I takt med att hållbarhetsrapporteringen utvidgas bortom miljöindikatorer kan styrning av AI och dataskydd komma att bli allt mer relevanta. Revisorer kan komma att utvärdera styrningsstrukturer, riktlinjer, kontroller, övervakningsmekanismer och uppföljningsprocesser där användningen av AI eller datahantering medför väsentliga hållbarhetspåverkningar eller risker.

Är era hållbarhetsdata tillräckligt välutvecklade för att kunna granskas?

Många som rapporterar för första gången oroar sig för att deras data inte är tillräckligt fullständiga. I praktiken är styrning och dokumentation ofta viktigare än perfekta nyckeltal. Ett företag med ofullständiga data men starka kontrollrutiner kan prestera bättre vid en granskning än ett företag med exakta nyckeltal men begränsad underlagsdokumentation. Frivillig rapportering och övningar i redovisningspraxis kan bidra till att identifiera svagheter innan den obligatoriska inlämningen.

Slutsats

Företagen behöver inte ha perfekta hållbarhetsuppgifter redan från första dagen, men de behöver tydligt ansvar, dokumenterade metoder, spårbara bevis och processer som går att försvara. Organisationer som börjar tidigt och fokuserar på styrning och dokumentation kommer att ha bättre förutsättningar för att framgångsrikt uppfylla CSRD-kraven och genomföra en granskning.

Har du fler frågor om CSRD, ESRS eller ESG-granskning?

SCS Global Services finns till för att stödja företag oavsett var de befinner sig i sin process mot att uppfylla CSRD-kraven och genomföra ESG-granskningar. För mer information och ytterligare stöd rekommenderar vi att du tittar på inspelningen av vårt webbinarium, läser vår fördjupande artikel om ESG-granskningar och gärna kontaktar oss direkt.