ESRS-Daten-Governance und interne Kontrollen: Von Datapoint-Verantwortlichen zu Prüfungsnachweisen

In britischem Englisch erstellt als praxisorientiertes Knowledge Card Package: Antwort, Erläuterung, Anwendung, Nachweise, Verknüpfungen und Veröffentlichungsebene.

Die ESRS-Berichterstattung verbindet Informationen mit sehr unterschiedlichen Merkmalen: konsolidierte Kennzahlen, Schätzungen, Standortdaten, Informationen aus der Wertschöpfungskette, Strategien, Ziele, zukunftsbezogene Pläne, qualitative Beurteilungen und narrative Aussagen. Diese Elemente können aus Finanzsystemen, HR-Plattformen, Umweltprotokollen, Beschaffungstools, Rechtsunterlagen, Umfragen, Beratermodellen und manuell gepflegten Dateien stammen. Eine einzelne Nachhaltigkeitserklärung kann daher von Hunderten von Mitwirkenden und Transformationen abhängen, die im veröffentlichten Bericht nicht sichtbar sind.

Das Berichterstattungsrisiko beschränkt sich nicht auf eine falsche Zahl. Eine wesentliche Falschaussage kann auch entstehen durch:

• eine ausgelassene Angabe oder ein fehlendes Unternehmen;

• die falsche Abgrenzung, den falschen Zeitraum, die falsche Einheit oder die falsche Definition;

• eine nicht belegte Aussage zur Umsetzung oder Wirksamkeit einer Strategie;

• ein geändertes Modell, das nicht genehmigt wurde;

• eine Schätzung, die ohne ihre Annahmen oder Einschränkungen dargestellt wird;

• ein Ziel, das nicht mit seiner Basislinie übereinstimmt;

• eine nachträgliche Anpassung, die die Prüfung umgeht;

• eine Berichtsversion, die nicht mehr mit dem kontrollierten Nachweispaket übereinstimmt.

Das Ziel besteht nicht darin, um ihrer selbst willen Kontrollen nach dem Vorbild der Finanzberichterstattung zu schaffen. Es geht darum, eine Informationskette aufzubauen, die es dem Management, dem Vorstand und dem Assurance-Anbieter ermöglicht zu verstehen, woher die Informationen stammen, warum sie angemessen sind, wie sie geprüft wurden und welche Einschränkungen bestehen bleiben.

Die aktuellen ESRS von 2023 verlangen vom Unternehmen, die wesentlichen Merkmale seines Risikomanagements und internen Kontrollsystems in Bezug auf den Prozess der Nachhaltigkeitsberichterstattung anzugeben. Die Angabe umfasst den Umfang und die wesentlichen Bestandteile des Systems, den Ansatz zur Risikobewertung und -priorisierung, die wesentlichen Risiken und Minderungsstrategien, die Integration der Ergebnisse in interne Funktionen sowie die regelmäßige Berichterstattung an Verwaltungs-, Management- und Aufsichtsorgane.

Die verabschiedeten ESRS von 2026 vereinfachen die wesentliche Angabe auf den Umfang sowie die wesentlichen Merkmale und Bestandteile der Risikomanagement- und internen Kontrollprozesse und -systeme. Die zugehörige Anwendungsanforderung besagt, dass das Unternehmen die Vollständigkeit und Integrität der Daten sowie die Genauigkeit von Schätzungsergebnissen als relevante Aspekte des Risikomanagements der Berichterstattung berücksichtigen muss.

Die ESRS schreiben kein einheitliches Kontrollrahmenwerk, kein bestimmtes Softwareprodukt, kein bestimmtes Three-Lines-Modell, keine einheitliche Struktur für Nachweisordner und keine verpflichtende Häufigkeit für jede Kontrolle vor. Die Organisation muss verhältnismäßige Kontrollen für ihre Berichterstattungsrisiken, ihre Struktur und ihre Datenreife entwickeln. Sie kann das System an bestehende Prozesse der Finanzberichterstattung, des unternehmensweiten Risikomanagements, der Compliance oder der internen Revision anpassen, aber die Ausgestaltung muss die besonderen Risiken von Nachhaltigkeitsinformationen berücksichtigen.

Ein verlässliches Modell trennt Erstellung, Verantwortlichkeit, Prüfung und Genehmigung, ohne eine unbeherrschbare Zahl von Übergaben zu schaffen.

Bei einem kleineren Unternehmen kann eine Person mehrere operative Rollen übernehmen. Wesentliche Informationen sollten jedoch nicht von derselben Person erstellt und abschließend genehmigt werden, ohne dass eine zusätzliche Prüfung erfolgt.

Drei miteinander verknüpfte Kontrollebenen

1. Kontrollen auf Unternehmensebene regeln Umfang, Verantwortlichkeiten, Berichterstattungsgrundsätze, Risikobewertung, Ethik, Eskalation und die Überwachung durch den Vorstand.

2. Kontrollen auf Prozessebene regeln Datenerhebung, Konsolidierung, Berechnungen, Schätzungen, narrative Angaben, Abschluss und Berichtszusammenstellung.

3. Kontrollen auf Angabeebene überprüfen eine bestimmte Kennzahl oder Aussage anhand ihrer Spezifikation, ihrer Nachweise und der Darstellungsanforderungen der ESRS.

Ein ausgereiftes System verknüpft alle drei Ebenen. Eine perfekt neu berechnete Kennzahl kann dennoch irreführend sein, wenn die Abgrenzung des Unternehmens falsch war. Eine gut konzipierte Konzernrichtlinie kann dennoch scheitern, wenn ein Standort eine unkontrollierte Arbeitsmappe hochlädt.

Die Angabematrix ist die organisierende Ebene zwischen Wesentlichkeit und Datenerhebung. Sie sollte für jeden wesentlichen IRO und jede anwendbare Angabe Folgendes erfassen:

• ESRS-Standard, DR, Paragraph oder Datenpunkt;

• wesentliches Thema und IRO-Verknüpfung;

• Berichtsgrenze und Berichtszeitraum;

• Verantwortlicher für die Angabe und Mitwirkender;

• quantitativer oder narrativer Status;

• ID des Datenwörterbuchs oder der narrativen Spezifikation;

• Quellsystem oder Evidenzkategorie;

• ID der Berechnung oder Methodik;

• Kontroll-ID und Überprüfungshäufigkeit;

• Berichtsabschnitt und Querverweis;

• Prüfungsstatus und offene Feststellungen;

• aktuelle Version und Datum der letzten Änderung.

Eine Liste von ESRS-Datenpunkten ist noch keine Kontrollmatrix. Die Organisation muss bestimmen, welche Informationen wesentlich sind, wie sie auf ihre Gegebenheiten anzuwenden sind und welche Nachweise eine sachgerechte Darstellung stützen.

Ein Datenwörterbuch verhindert, dass verschiedene Standorte, Funktionen und Zeiträume dieselbe Bezeichnung für unterschiedliche Informationen verwenden. Jeder Datensatz für eine kontrollierte Kennzahl sollte mindestens Folgendes enthalten:

Das Wörterbuch sollte vor der abschließenden Datenabfrage genehmigt werden. Das Ändern von Definitionen während des Abschlusses führt zu inkonsistenten Vergleichszahlen und undokumentierter Verzerrung durch das Management.

Ein Nachweisregister dokumentiert, wo Nachweise aufbewahrt werden und wie sie mit einer Angabe zusammenhängen. Es ist nicht erforderlich, jedes Quelldokument in einen einzigen Ordner zu kopieren, aber die Verknüpfung muss dauerhaft und für autorisierte Prüfer zugänglich sein.

Empfohlene Felder umfassen:

• Nachweis-ID, Titel und Beschreibung;

• zugehörige Kennzahl, narrative Aussage, Ziel oder Beurteilung;

• Quelleneigentümer und Verwahrer;

• ursprüngliches System oder Repository;

• Berichtszeitraum und Extraktionsdatum;

• Version, Dateihash oder unveränderliche Kennung, sofern verfügbar;

• Zugriffsklassifizierung: öffentlich, intern, eingeschränkt, privilegiert oder personenbezogene Daten;

• Aufbewahrungszeitraum;

• durchgeführte Prüfung und Prüfer;

• Einschränkungen oder fehlende Nachweise;

• Verknüpfung zum Problem- und Abhilfemaßnahmenregister;

• unterstützte finale Berichtsversion.

Hierarchie der Nachweisqualität

Nachweise sind stärker, wenn sie zeitnah, vollständig, unabhängig erstellt oder systemseitig kontrolliert sowie unmittelbar mit dem Berichtszeitraum verknüpft sind und eine erneute Durchführung ermöglichen. Eine Erläuterung des Managements kann erforderlich sein, sollte jedoch Quelldatensätze nicht ersetzen, wenn solche Datensätze vorhanden sein sollten.

Bei narrativen Angaben können Nachweise genehmigte Richtlinien, Protokolle des Leitungsorgans, Programmaufzeichnungen, Verträge, Protokolle zur Einbindung von Stakeholdern, Beschwerdedaten, Schulungsteilnahmen, Budgets, Maßnahmenverfolgungen und Ergebnisanalysen umfassen. Eine Richtlinie belegt, dass ein Wortlaut genehmigt wurde; sie belegt für sich genommen weder die Umsetzung noch die Wirksamkeit.

Nachhaltigkeitskennzahlen erfordern häufig Transformationen, die komplexer sind, als die endgültige Zahl vermuten lässt. Ein Berechnungsinventar sollte jede in der Berichterstattung verwendete Arbeitsmappe, jedes Skript, jedes Modell und jede externe Berechnung identifizieren.

Mindestkontrollen umfassen:

1. Genehmigung der Formel. Der Methodikverantwortliche bestätigt Formel, Faktoren, Einheiten und Abgrenzung.

2. Abstimmung von Quelle und Eingabe. Eingaben werden mit Summen des Quellsystems oder dokumentierten Auszügen abgestimmt.

3. Automatisierte oder unabhängige Neuberechnung. Ein Prüfer reproduziert wesentliche Berechnungen oder testet die Integrität der Formeln.

4. Governance der Faktoren. Emissionsfaktoren, Umrechnungsraten und Klassifizierungstabellen verfügen über Quelle, Version und Gültigkeitszeitraum.

5. Validierung von Schätzungen. Annahmen sind angemessen und vertretbar, Unsicherheiten werden bewertet und tatsächliche Ergebnisse werden, soweit möglich, mit früheren Schätzungen verglichen.

6. Änderungssteuerung. Modelländerungen erfordern eine dokumentierte Begründung, eine Folgenabschätzung, eine Genehmigung und eine vergleichende Prüfung.

7. Schutz. Gesperrte Zellen, Code-Repositories, Zugriffsberechtigungen und kontrollierte Masterdateien verringern versehentliche oder unbefugte Änderungen.

8. Abstimmung der Ergebnisse. Endgültige Tabellen und narrative Werte werden mit der genehmigten Berechnungsausgabe und Berichtsversion abgestimmt.

Eine Tabellenkalkulation kann kontrolliert sein, wenn Verantwortlichkeit, Versionierung, Zugriff, Formprüfung und Nachweise diszipliniert gehandhabt werden. Eine hochentwickelte Plattform kann unkontrolliert sein, wenn Definitionen oder Genehmigungen schwach sind.

Die für ESRS erforderlichen Nachweise können personenbezogene Informationen, Beschwerden, Aufzeichnungen zu Arbeitskräften, Feststellungen zu Lieferanten, Rechtsberatung und kommerziell sensible Annahmen umfassen. Ein umfassender Zugriff ist keine Nachweis-Transparenz.

Ein praktisches Zugriffsmodell sollte:

• Berechtigungen nach dem Prinzip der geringsten Privilegien anwenden;

• die Rechte von Erstellern, Prüfern und Administratoren, soweit angemessen, trennen;

• den Zugriff auf personenbezogene Daten und Beschwerdedaten beschränken und de-identifizierte Berichtsauszüge bereitstellen;

• rechtlich privilegiertes Material oder Untersuchungsmaterial identifizieren;

• das Löschen oder stille Überschreiben nach der Genehmigung verhindern;

• Zugriffsprotokolle für Repositories mit hohem Risiko aufbewahren;

• kontrollierte Übertragungsmethoden für Tochterunternehmen und externe Dienstleister verwenden;

• festlegen, was der Prüfungsdienstleister einsehen darf und wie mit eingeschränkten Nachweisen umzugehen ist;

• den Zugriff nach Rollenwechseln oder Abschluss des Projekts entziehen.

Der öffentliche Bericht sollte auf Nachweise zurückführbar sein, ohne vertrauliche Einzelheiten offenzulegen, die für die Erklärung nicht erforderlich sind.

Ein Prüfer sollte mehr tun, als zu bestätigen, dass ein Feld ausgefüllt ist. Die Prüfung sollte sich mit der für die Information relevanten Aussage befassen.

Ein gestuftes Freigabemodell umfasst commonly:

• Bescheinigung durch den Ersteller;

• Genehmigung durch den Datenpunktverantwortlichen;

• Prüfung durch den Kontrollverantwortlichen;

• technische ESRS-Prüfung;

• fachliche oder rechtliche Prüfung sensibler narrativer Angaben;

• Freigabe durch das Management auf Themenebene;

• Bescheinigung der Konzernberichterstattung;

• abschließende Genehmigung durch Management und Leitungsorgan.

Freigaben sollten die genehmigten genauen Daten und die Berichtsversion identifizieren. Eine allgemeine E-Mail mit der Aussage „sieht gut aus“ ist ein schwacher Nachweis.

Für jedes kontrollierte Informationselement ist eine Regel für Änderungen nach der erstmaligen Übermittlung erforderlich. Das Änderungsprotokoll sollte Folgendes erfassen:

• geändertes Element und geänderte Version;

• Datum und Person, die die Änderung vorgenommen hat;

• Grund: neue Quelldaten, Fehlerkorrektur, Änderung der Methodik, Änderung der Abgrenzung oder Änderung der Darstellung;

• quantitative und qualitative Auswirkungen;

• Auswirkungen auf Vergleichsinformationen, Ziele, finanzielle Auswirkungen und verbundene Angaben;

• erforderliche erneute Durchführung von Kontrollen;

• eingeholte Genehmigungen;

• ob der Prüfungsdienstleister und das Aufsichtsorgan informiert wurden;

• betroffene endgültige Berichtsversion.

Späte Änderungen sollten einem definierten Schwellenwert und einem Eskalationsweg folgen. Ziel ist nicht, Korrekturen zu verbieten, sondern sicherzustellen, dass eine Korrektur nicht an anderer Stelle im Bericht neue Inkonsistenzen verursacht.

Bestätigungen der Leitung unterstützen die Rechenschaftspflicht; sie ersetzen weder Nachweise noch Kontrollen. Die unverbindlichen Leitlinien des CEAOB zur begrenzten Prüfungssicherheit besagen, dass Praktiker ein Bestätigungsschreiben anfordern sollten, das von mindestens einem verantwortlichen Mitglied der oberen Leitung oder den für die Überwachung Verantwortlichen unterzeichnet ist und eine Bestätigung der Verantwortung für die Nachhaltigkeitserklärungen enthält.

Ein interner Bestätigungsprozess kann von den verantwortlichen Führungskräften verlangen zu bestätigen, dass nach bestem Wissen:

• die Informationen in ihrem Bereich vollständig sind und auf Grundlage genehmigter Definitionen erstellt wurden;

• wesentliche Schätzungen, Ermessensentscheidungen und Einschränkungen offengelegt wurden;

• bekannte Fehler, Bedenken hinsichtlich Betrug und für den Bericht relevante Verstöße gemeldet wurden;

• wesentliche nachträgliche Ereignisse und Änderungen mitgeteilt wurden;

• Richtlinien, Maßnahmen und Ziele zutreffend beschrieben sind;

• Nachweise aufbewahrt wurden und verfügbar sind;

• ungelöste Sachverhalte aufgeführt und nicht verborgen wurden.

Das Bestätigungsschreiben ist die letzte Verantwortungsebene und kein Heilmittel für fehlende Quelldokumentation.

Feststellungen sollten in einem einzigen kontrollierten Sachverhaltsprotokoll verwaltet werden, unabhängig davon, ob sie aus der Überprüfung durch die Leitung, der internen Revision, der Prüfungssicherheit, Rückmeldungen von Aufsichtsbehörden oder einer Korrektur nach der Veröffentlichung hervorgehen.

Ein zweckmäßiger Ablauf ist:

1. Erfassen Sie den Sachverhalt mit betroffener Angabe, Quelle, Kontrolle und Berichtsversion.

2. Klassifizieren Sie den Sachverhalt: Daten, Abgrenzung, Methode, Nachweise, Durchführung der Kontrolle, erläuternde Angaben, Darstellung oder Governance.

3. Bewerten Sie die Schwere anhand der potenziellen falschen Darstellung, der Durchgängigkeit, des regulatorischen Risikos und der verbleibenden Zeit bis zur Veröffentlichung.

4. Begrenzen Sie das unmittelbare Risiko, beispielsweise durch die Aussetzung einer Zahl oder die Einschränkung einer nicht belegten Aussage.

5. Korrigieren Sie die Informationen der aktuellen Berichtsperiode und führen Sie betroffene Kontrollen erneut durch.

6. Analysieren Sie die Grundursache: Designfehler, Ausführungsfehler, Kapazität, System, Definition oder Überwachung.

7. Ergreifen Sie Abhilfemaßnahmen mit verantwortlicher Person, Frist, Finanzierung und Nachweis des Erfolgs.

8. Validieren Sie den Abschluss unabhängig und aktualisieren Sie die Kontrollmatrix, das Datenwörterbuch oder die Methodik.

9. Berichten Sie wesentliche oder überfällige Sachverhalte an die Leitung und das Aufsichtsorgan.

Der Abschluss einer Prüfungsanfrage ist nicht dasselbe wie die Behebung des zugrunde liegenden Prozesses. Ein nachhaltiger Abschluss verändert das System, das die Feststellung verursacht hat.

Die nachstehende Matrix dient der Veranschaulichung. Kontrollhäufigkeit und Nachweise sollten an das Risiko, den Berichtszeitplan und den Reifegrad des Systems angepasst werden.

Abbildung 2. Beispielhafte ESRS-Kontrollmatrix zur Verknüpfung von Risiken, Kontrollen, Verantwortlichen und Nachweisen. Markengeschützte Bildungsvisualisierung der London Reporting Academy.

Verwendung der Matrix

Für jede Kontrolle sollte ein separates Designdokument mit Angaben zu Ziel, Grundgesamtheit, Verfahren, Nachweisen, Kompetenz der prüfenden Person, Fehlerkriterien und Eskalation vorliegen. Die Tabelle im Bericht kann das Gesamtsystem beschreiben; die detaillierte Matrix bleibt ein interner Nachweis.

Profil. Ein diversifizierter Hersteller schätzt die Emissionen aus eingekauften Gütern anhand der Beschaffungsausgaben und branchenspezifischer Emissionsfaktoren, da lieferantenspezifische Aktivitätsdaten unvollständig sind.

Anfängliches Risiko. Der Beschaffungsextrakt schließt zwei neu erworbene Unternehmen aus, Währungen werden anhand unterschiedlicher Kurse umgerechnet, Faktorversionen sind nicht dokumentiert und ein Berater übermittelt nur die Endzahl.

Kontrollgestaltung. Der Konzern:

1. stimmt die Liste der Unternehmen mit der Finanzkonsolidierung ab;

2. extrahiert die Beschaffungsausgaben mittels einer kontrollierten Abfrage und stimmt die Summen mit dem Finanzbereich ab;

3. wendet eine einheitliche genehmigte Konvention zur Währungsumrechnung an;

4. dokumentiert Quelle, Version, Klassifizierung und Gültigkeitszeitraum des Faktors;

5. bewahrt das Modell auf und verlangt ausreichende Detailtiefe für eine erneute Durchführung;

6. führt eine Sensitivitätsanalyse durch und ermittelt die größten Unsicherheitstreiber;

7. vergleicht das Ergebnis mit dem Vorjahr und Veränderungen der Geschäftstätigkeit;

8. holt die Genehmigung des Methodikverantwortlichen und des Datenpunktverantwortlichen ein;

9. legt die Schätzmethode und Einschränkungen verhältnismäßig offen;

10. hält einen Plan zur Erhöhung der Abdeckung lieferantenspezifischer Daten fest.

Nachweise für die Prüfung. Das Nachweispaket enthält die Abstimmung mit der Konsolidierung, den Beschaffungsextrakt, die Zuordnungstabelle, die Faktorenbibliothek, das Modell, die Sensitivitätsanalyse, den Prüfvermerk und den Querverweis auf die Offenlegung.

Einschränkung. Dies ist eine illustrative Kontrollgestaltung. Die geeignete THG-Methodik, die Kategoriegrenze und die Offenlegung hängen von den Gegebenheiten des berichtspflichtigen Unternehmens und den geltenden ESRS-Anforderungen ab.

1. Einer „ESRS-verantwortlichen Person“ Hunderte von Datenpunkten zuzuweisen. Verantwortliche auf Angabe- oder Kennzahlenebene zu benennen und Mitwirkende sowie Prüfende zu identifizieren.

2. Das Nachweisregister erst nach der Erstellung aufzubauen. Anforderungen an Nachweise im Datenwörterbuch und in der Angabematrix vor der Datenabfrage festzulegen.

3. Narrative Angaben als unkontrollierten Fließtext zu behandeln. Für Richtlinien, Maßnahmen, Ziele, Fortschritte und Wirksamkeit ein Anspruchsregister und eine Nachweisprüfung zu verwenden.

4. Für jede Kennzahl dieselbe Prüfung zu verwenden. Kontrollen auf die tatsächliche Aussage und das tatsächliche Risiko auszurichten: Vollständigkeit, Abgrenzung, Periodenabgrenzung, Schätzung oder Darstellung.

5. Zu ermöglichen, dass lokale Tabellenkalkulationen die Definitionen der Gruppe überschreiben. Hauptspezifikationen zu sperren und dokumentierte Ausnahmen zu verlangen.

6. Modelle ausschließlich in Systemen externer Anbieter aufzubewahren. Vertraglich Daten, Methodik und Ergebnisse zu vereinbaren, die für die Verantwortung des Managements und eine erneute Durchführung ausreichen.

7. Managementbestätigungen zu verwenden, um fehlende Nachweise abzudecken. Bestätigungen ergänzen Aufzeichnungen und Kontrollen, ersetzen sie aber nicht.

8. Feststellungen ohne Beseitigung der Grundursache abzuschließen. Prozess, Verantwortlichen, System oder Kontrolldesign zu aktualisieren und die Wirksamkeit zu validieren.

9. Die finale Word-, Design- oder Tagging-Datei nicht zu kontrollieren. Die veröffentlichte Version mit den genehmigten Daten abzugleichen und das exakt finale Paket zu archivieren.

10. Datenpunkte mit geringem Risiko übermäßig komplex zu gestalten und gleichzeitig Schätzungen und Abgrenzungen mit hohem Risiko zu vernachlässigen. Eine dokumentierte Risikobewertung zu verwenden, um den Aufwand zu priorisieren.

• Aktuelles ESRS 2 GOV-5: Risikomanagement und interne Kontrollen für die Nachhaltigkeitsberichterstattung.

• Übernommenes überarbeitetes ESRS 2 GOV-4 und AR 10: Umfang, Hauptmerkmale und Bestandteile des Kontrollsystems; Berücksichtigung der Vollständigkeit und Integrität der Daten sowie der Genauigkeit von Schätzungen.

• ESRS 1: sachgerechte Darstellung, qualitative Merkmale, wesentliche Informationen, Schätzungen, Informationen zur Wertschöpfungskette und Erstellung der Nachhaltigkeitserklärung.

• GDR-M und GDR-T: Methodik und Kontextinformationen für Kennzahlen und Ziele.

• EFRAG IG 3: nicht verbindliches Datenpunktinventar für die ESRS 2023; nützlich für die Architektur, aber kein Ersatz für die Wesentlichkeitsbestimmung oder die Gestaltung von Kontrollen.

• CEAOB-Leitlinien zur begrenzten Prüfungssicherheit: risikobasierte Verfahren, ausreichende geeignete Nachweise, Neuberechnung, erneute Durchführung, Informationen zur Wertschöpfungskette und Bestätigungsschreiben, vorbehaltlich nationaler Verlautbarungen.

• ISSA 5000: umfassender internationaler Standard für Aufträge zur Prüfung der Nachhaltigkeitsberichterstattung, sofern übernommen oder anderweitig anwendbar.

Verlangt ESRS ein formelles Rahmenwerk für interne Kontrollen?

ESRS verlangt die Offenlegung des Risikomanagements und des internen Kontrollsystems für die Berichterstattung, schreibt jedoch kein bestimmtes Rahmenwerk vor. Die Organisation sollte ein angemessenes, dokumentiertes System verwenden, das ihre wesentlichen Berichterstattungsrisiken abdeckt.

Ist ein Evidenzregister verpflichtend?

Die Standards schreiben kein Instrument namens Evidenzregister vor. Es ist eine praktische Möglichkeit, Nachvollziehbarkeit, Zuständigkeit, Zugriff und Überprüfung nachzuweisen, und ist besonders für die Bereitschaft zur Prüfungssicherheit nützlich.

Kann das Nachhaltigkeitsteam für alle Kontrollen zuständig sein?

Das zentrale Team kann für das Berichterstattungsrahmenwerk zuständig sein, aber die Verantwortung für Quelldaten sollte normalerweise beim zuständigen fachlichen, Finanz-, HR-, Beschaffungs-, Rechts- oder operativen Verantwortlichen verbleiben. Eine unabhängige Überprüfung sollte dem Risiko angemessen sein.

Prüfen Anbieter begrenzter Prüfungssicherheit jede Kontrolle?

Nein. Die Prüfung erfolgt risikobasiert. Die prüfende Person entwickelt Verfahren, um ausreichende geeignete Nachweise für die Schlussfolgerung zu erlangen, und kann Inspektion, Beobachtung, Bestätigung, Neuberechnung, erneute Durchführung, analytische Verfahren oder Befragung einsetzen. Das Management sollte nicht davon ausgehen, dass jede Kontrolle oder jeder Datenpunkt geprüft wird.

Wie sollten narrative Aussagen kontrolliert werden?

Erstellen Sie ein Aussageverzeichnis, das jede wesentliche Aussage mit Nachweisen, einer verantwortlichen Person, der Überprüfung und der Berichtsversion verknüpft. Unterscheiden Sie zwischen dem Vorhandensein einer Richtlinie, Umsetzungstätigkeit, Output, Ergebnis und Wirksamkeit.