Erster ESRS-Berichtszyklus: Ein 15-Monats-Projektplan für Unternehmen und Gruppen

Erstellt in britischem Englisch als praxisorientiertes Knowledge-Card-Paket: Antwort, Erläuterung, Anwendung, Nachweise, Zusammenhänge und Veröffentlichungsebene.

Ein ausgereifter Abschluss der Finanzberichterstattung stützt sich auf Richtlinien, Systeme, Verantwortliche, Abstimmungen und Governance, die bereits während des gesamten Jahres funktionieren. Bei der erstmaligen Nachhaltigkeitsberichterstattung fehlt diese Infrastruktur häufig. Daten können in HR-Plattformen, Tabellenkalkulationen, Standortsystemen, Beschaffungstools, Risikoregistern, Beschwerdekanälen und bei externen Dienstleistern liegen. Narrative Angaben können von Board-Unterlagen, Strategieentscheidungen, der Einbindung von Stakeholdern und Nachweisen aus der Wertschöpfungskette abhängen.

Ein 15-monatiger Plan schafft Zeit, den Prozess vor dem gesetzlichen Abschluss zu testen. Er ermöglicht es der Organisation außerdem, Probleme bei Definitionen, Abgrenzungen und Kontrollen zu beheben, solange noch Zeit für die Erhebung besserer Daten bleibt. Der Plan kann für ein einfaches Unternehmen verkürzt oder für eine komplexe Gruppe verlängert werden, die Abfolge sollte jedoch gesteuert bleiben.

Der Projektsponsor sollte ein kurzes Mobilisierungspapier genehmigen, das Folgendes abdeckt:

• Rechtsträger und Gruppenstruktur;

• erwarteter CSRD-Anwendungsbereich nach Rechtsordnung und Berichtszeitraum;

• ob eine Befreiung des Mutterunternehmens oder eine andere Befreiung in Betracht gezogen wird;

• die voraussichtlich anzuwendende ESRS-Ausgabe und die Übergangskontingenz;

• Veröffentlichungsdatum des Lageberichts und lokale Einreichungsfristen;

• Prüfungsanbieter, nationaler Prüfungsrahmen und Unabhängigkeitsanforderungen;

• Zeitplan für den Abschluss des Jahresabschlusses;

• Sprachen, Anforderungen an die digitale Auszeichnung und Strategie zur Einbeziehung durch Verweis;

• frühere Nachhaltigkeitsberichte, GRI oder andere zur Wiederverwendung verfügbare Datensätze;

• bekannte Akquisitionen, Veräußerungen, Reorganisationen oder Systemänderungen.

Für Geschäftsjahre, die am oder nach dem 1. Januar 2027 beginnen, gilt der geänderte EU-Anwendungsbereich grundsätzlich für Unternehmen, die sowohl einen Nettoumsatz von mehr als EUR450 million als auch durchschnittlich 1,000 Beschäftigte überschreiten, gegebenenfalls auch auf konsolidierter Ebene. Die Übergangsanwendung für 2025-2026 kann von der Nutzung der zulässigen Ausnahmeregelung durch den Mitgliedstaat abhängen. Das Projekt sollte daher ein Memorandum zum rechtlichen Anwendungsbereich verwenden und nicht von der informellen Annahme ausgehen, „wir fallen wahrscheinlich in den Anwendungsbereich“.

Die Monatsbezeichnungen sind relativ. Eine Gruppe mit einer frühen Frist für den Geschäftsbericht muss möglicherweise vor dem Berichtsjahr beginnen. Eine dezentralisierte Gruppe benötigt möglicherweise auch einen zusätzlichen Pilotzyklus für Meldungen von Standorten und Tochterunternehmen.

Dieser Arbeitsablauf wird gemeinsam von der Rechtsabteilung, dem Finanzbereich und der Nachhaltigkeitsberichterstattung verantwortet. Er sollte folgende Fragen beantworten:

• Welche berichtende Einheit erstellt das Einzel- oder konsolidierte Nachhaltigkeitsstatement?

• Welche Tochterunternehmen sind in den Konsolidierungskreis der Finanzberichterstattung einbezogen?

• Wie werden assoziierte Unternehmen, gemeinschaftliche Vereinbarungen, geleaste Vermögenswerte und andere Beziehungen für jede Messgröße behandelt?

• Welche Informationen aus der vor- und nachgelagerten Wertschöpfungskette sind relevant?

• Welche nationalen Umsetzungsregeln, Ausnahmen und Anforderungen an die Prüfungssicherung gelten?

• Welche ESRS-Ausgabe ist für den Berichtszeitraum rechtlich wirksam?

• Wie wird das Projekt reagieren, wenn die überarbeiteten ESRS während der Umsetzung in Kraft treten?

Das wichtigste Ergebnis ist eine Abgrenzungskarte, nicht nur ein Rechtsvermerk. Sie sollte jeden Rechtsträger und jede Kategorie der Wertschöpfungskette mit Datenverantwortlichen, Systemen, Berichtspflichten und Ausschlüssen verknüpfen.

Kritische Kontrolle

Jede Änderung der Gruppenstruktur, des Berichtszeitraums oder der Standardausgabe löst eine dokumentierte Folgenabschätzung zu Wesentlichkeit, Datenpunkten, Methoden, Vergleichsinformationen, Prüfungssicherung und Formulierung des Berichts aus.

Das Projekt benötigt eine klare Trennung zwischen Erstellung, Überprüfung und Genehmigung. Ein praktikables Modell umfasst:

• Leitungsorgan oder Aufsichtsorgan: letztendliche Überwachung und Genehmigung des Managementberichts;

• Prüfungs-, Prüfungssicherungs- oder Nachhaltigkeitsausschuss: detaillierte kritische Prüfung von Prozess, Kontrollen, Wesentlichkeit und Feststellungen;

• Steuerungsausschuss der Führungsebene: Umfang, Ressourcen, funktionsübergreifende Entscheidungen und Eskalation von Sachverhalten;

• Programmdirektion: integrierter Zeitplan, Abhängigkeiten und Nachweise über die Fertigstellung;

• Verantwortliche für die technische Berichterstattung: Auslegung der ESRS, Angabematrix und Redaktion;

• Verantwortliche für Daten und Kontrollen: Datenwörterbuch, Berechnungen, Kontrollen und Nachweise;

• Themenverantwortliche: Strategien, Maßnahmen, Messgrößen, Ziele und narrative Nachweise;

• Rechts-/Datenschutzteam: rechtlicher Anwendungsbereich, Aussagen, Vertraulichkeit und personenbezogene Daten;

• Finanzen und Risiko: Verknüpfung, finanzielle Auswirkungen, Konsolidierung und Kontrollen;

• Interne Revision: unabhängige Bereitschaftsprüfung, soweit angemessen;

• Prüfungssicherungsdienstleister: unabhängiger Auftrag, nicht der Entwickler der Kontrollen des Managements.

Der Steuerungsausschuss sollte ein Entscheidungsprotokoll genehmigen, in dem der Sachverhalt, die Optionen, die Quellenbasis, der Verantwortliche, der Genehmigende, das Datum und die Auswirkung auf die Angaben festgehalten werden.

Die DMA liegt auf dem kritischen Pfad, weil sie die wesentlichen Themen, IROs und einen großen Teil der Angabearchitektur bestimmt. In einem ersten Zyklus sollte das Wesentlichkeitsfazit nicht bis zur Erstellung des Berichts aufgeschoben werden.

Eine belastbare DMA-Akte umfasst:

1. Analyse von Geschäftsmodell, Strategie, Geografie, Sektor und Wertschöpfungskette;

2. eine vollständige IRO-Gesamtheit und kontrollierte Taxonomie;

3. Nachweisquellen und Beiträge von Interessenträgern;

4. Kriterien für die Wesentlichkeit der Auswirkungen und die finanzielle Wesentlichkeit;

5. Bewertungen von Schweregrad, Wahrscheinlichkeit und Zeithorizont;

6. Schwellenwerte oder qualitative Entscheidungsregeln und Sensitivitätsanalyse;

7. kritische Prüfung durch das Management und Genehmigung durch die Governance-Gremien;

8. Änderungen gegenüber früheren Bewertungen;

9. Verknüpfungen zu berichtspflichtigen Themen und unternehmensspezifischen Informationen;

10. ungelöste Einschränkungen und Verbesserungsmaßnahmen.

Risiko für den kritischen Pfad

Wenn die DMA verspätet ist, können die Datenverantwortlichen nicht wissen, welche thematischen Messgrößen sowie Angaben zu Strategien und Maßnahmen erforderlich sein werden. Das Projekt erhebt dann entweder zu viele breit gefasste ESG-Daten oder entdeckt nach dem Jahresende wesentliche Lücken.

Die Angabematrix verknüpft:

• wesentliche IROs und Themen;

• DRs, Datenpunkte und ARs;

• Verantwortlichen und Prüfer;

• Quellsystem oder narrativen Nachweis;

• Methodik, Einheit, Zeitraum und Abgrenzung;

• Berechnungs- und Konsolidierungsdatei;

• anwendbare Erleichterung, Schätzung oder Auslassung;

• Berichtsort und Querverweis;

• Kontroll- und Prüfungssicherungsnachweis;

• Status, Sachverhalt und Freigabe.

Das Datenwörterbuch legt anschließend jeden quantitativen und narrativen Datenpunkt fest. Es sollte versionskontrolliert und von Software, Tabellenkalkulationen, Anweisungen und Listen von Prüfungsanfragen verwendet werden. Ein gesondertes Nachweisregister erfasst die tatsächlichen Dateien, Genehmigungen und den Aufbewahrungsstatus.

Hochrisikopositionen, die zuerst im Probelauf geprüft werden sollten

Priorisieren Sie Datenpunkte mit einem oder mehreren der folgenden Merkmale:

• Daten aus der Wertschöpfungskette oder von externen Dienstleistern;

• mehrere Quellsysteme und manuelle Transformationen;

• Schätzungen, Näherungswerte oder Modelle;

• finanzielle Auswirkungen und Verknüpfungen zu Abschlüssen;

• Treibhausgasinventar und Scope 3;

• Belegschaften mit Einschränkungen aufgrund des Datenschutzes;

• Informationen zu Vorfällen, Beschwerden oder Menschenrechten;

• neue Basisjahre, Ziele oder Neudarstellungen;

• unternehmensspezifische Messgrößen;

• wesentliche Ermessensentscheidungen des Managements.

Ein erster Berichtszyklus profitiert von zwei Probeläufen vor dem endgültigen Abschluss.

Probelauf 1 - Entwurfstest

Verwenden Sie Daten für einen Teil des Jahres oder aus dem Vorjahr, um Definitionen, Abgrenzungen, Formeln, Nachweise und Konsolidierung zu testen. Ziel ist nicht die Veröffentlichung einer perfekten Zahl, sondern das Aufdecken von Fehlern in der Konzeption.

Probelauf 2 - Betriebstest

Verwenden Sie Daten für das laufende Jahr bis zum Berichtszeitpunkt und verlangen Sie von den Verantwortlichen, die vorgesehenen Kontrollen durchzuführen. Stichprobenartige Nachweise sollten so gespeichert werden, wie dies für die Prüfungssicherung erfolgen wird. Das Team sollte die Vorbereitungszeit und Engpässe verfolgen.

Endgültiger Abschluss

Der Abschluss der Nachhaltigkeitsberichterstattung sollte Folgendes umfassen:

• einen Stichtag und eine Regelung für verspätete Anpassungen;

• gesperrte Eingabevorlagen oder einen Systemworkflow;

• Bestätigung durch Rechtsträger und Standorte;

• Versionskontrolle der Berechnungen;

• Abstimmungen und Abweichungsanalyse;

• Überprüfung und Genehmigung von Schätzungen;

• Bewertung nachträglicher Ereignisse;

• Verfahren für Managementbestätigungen;

• Abschluss von Sachverhalten und endgültige Freigabe.

Der Abschlusskalender sollte in den Finanzabschluss integriert werden, weil finanzielle Auswirkungen, Mitarbeiterzahl, Umsatzbezugsgrößen, Änderungen der Konsolidierung und die Genehmigung des Berichts von Finanzdaten abhängen.

Die Redaktion sollte mit genehmigten Nachweisen beginnen, nicht mit allgemeinen Formulierungen. Für jedes wesentliche Thema sollte das Team Folgendes verknüpfen:

• wesentliche IROs;

• Governance und Strategie;

• Strategien;

• Maßnahmen und Ressourcen;

• Messgrößen und Ziele;

• aktuelle und erwartete finanzielle Auswirkungen, soweit erforderlich;

• Einschränkungen und Schätzungen;

• Verknüpfungen zu Abschlüssen und anderen Inhalten des Managementberichts.

Die technische Redaktion sollte ein Aussagenregister führen. Jede wesentliche Aussage wird als Anforderung, Tatsachenaussage, Schätzung, Ermessensentscheidung des Managements, künftiger Plan oder Auslegung klassifiziert und mit Nachweisen verknüpft.

Herausforderung bei der Gruppenredaktion

Ein konsolidiertes Statement sollte nicht wie eine Liste von Initiativen der Tochterunternehmen wirken. Es sollte das Bild auf Gruppenebene erläutern und dort disaggregieren, wo eine Aggregation wesentliche Unterschiede verdecken würde. Beiträge der Tochterunternehmen benötigen eine gemeinsame Terminologie und ein Genehmigungsverfahren.

Der Prüfungssicherungsdienstleister ist kein Ersatz für Kontrollen des Managements. Vor den Prüfungshandlungen sollte das Management Folgendes zeigen können:

• wie Umfang und Wesentlichkeit genehmigt wurden;

• wer für jede Angabe verantwortlich ist;

• wie die Daten vollständig und richtig sind;

• wie Schätzungen und Modelle gesteuert werden;

• wie narrative Aussagen belegt werden;

• wie Änderungen und Neudarstellungen kontrolliert werden;

• wie Feststellungen eskaliert werden;

• wie die Überwachung durch das Leitungsorgan funktioniert;

• wie das veröffentlichte Statement mit dem kontrollierten Entwurf abgestimmt wird.

Die 2023 ESRS legen das Risikomanagement und die internen Kontrollen unter GOV-5 offen; die überarbeiteten 2026 ESRS verschieben dies zu GOV-4 und vereinfachen die Hauptangabe auf den Umfang, die wesentlichen Merkmale und die Komponenten der Prozesse und Systeme. Die verabschiedeten AR heben insbesondere die Vollständigkeit und Integrität der Daten sowie die Genauigkeit von Schätzungen als relevante Berichtsrisiken hervor.

Abbildung 2. Kritischer Pfad und Entscheidungstore für den ersten ESRS-Zyklus. Markenbezogene Lehrgrafik der London Reporting Academy.

Die folgenden Bandbreiten sind Umsetzungsannahmen für eine mittelkomplexe Gruppe, nicht ESRS-Anforderungen.

Eine Gruppe mit unzureichenden Quellsystemen, zahlreichen Rechtsordnungen oder umfangreichen Kennzahlen zur Wertschöpfungskette benötigt möglicherweise erheblich mehr Kapazität. Eine einfachere Rechtseinheit mit ausgereifter GRI- und Finanzkontrollinfrastruktur benötigt möglicherweise weniger.

Ressourcentest

Prüfen Sie, ob der Plan die Arbeiten finanziert, die außerhalb des zentralen Nachhaltigkeitsteams anfallen: Aufbereitung von Standortdaten, Auszüge aus HR- und Beschaffungssystemen, rechtliche Prüfung, Abstimmung mit dem Finanzwesen, Evidenzverwaltung, Übersetzung, digitales Tagging und Unterlagen für das Leitungsorgan. Projekte mit unzureichenden Ressourcen wirken oft bis Monat 10 angemessen besetzt, wenn alle Arbeitsstränge zusammenlaufen.

Profil. Eine Gruppe hat 32 Rechtseinheiten, 18 Produktionsstandorte, ist in neun Ländern tätig und verfügt über einen früheren GRI-Bericht. Sie erwartet sechs wesentliche ESRS-Themen und plant die Veröffentlichung vier Monate nach dem Jahresende.

Ausgangslage. Klima- und Beschäftigtendaten sind vorhanden, aber die Standortabgrenzungen unterscheiden sich. Scope 3 verwendet ein Beratungsmodell mit begrenzter interner Verantwortlichkeit. Sozialdaten von Lieferanten beruhen auf Fragebögen. Narrative Richtlinien sind in mehreren Versionen gespeichert. Ein integriertes Evidenzregister existiert nicht.

Planentscheidung. Die Gruppe beginnt 11 Monate vor dem Jahresende und verwendet die ersten vier Monate auf Anwendungsbereich, Governance und DMA. Sie priorisiert Probeläufe für Treibhausgasemissionen, Beschäftigtenpopulationen, Wasser, Abfall und Angaben zu Arbeitskräften in der Wertschöpfungskette. Das Evidenzregister und das Datenwörterbuch werden vor der ersten Datenabfrage implementiert.

Kritische Feststellung. Der erste Probelauf zeigt, dass drei Standorte Auftragnehmer als Beschäftigte melden und dass Zertifikate für erneuerbaren Strom nicht mit den Verbrauchszeiträumen verknüpft sind. Da das Problem in Monat 8 festgestellt wird, korrigiert die Gruppe Definitionen und Nachweise vor dem endgültigen Abschluss.

Ergebnis. Die Prüfung vor Ort identifiziert weiterhin Feststellungen, diese beziehen sich jedoch hauptsächlich auf die Dokumentationsqualität und nicht auf grundlegende Abgrenzungsfehler. Die Gruppe veröffentlicht den Bericht und überführt die Feststellungen in ein 90-Tage-Programm zur Behebung.

1. Erst nach dem Jahresende beginnen. Beginnen Sie früh genug, um Datenerhebung und Governance während des Berichtszeitraums zu beeinflussen.

2. Die DMA als Präsentation eines Beraters behandeln. Bewahren Sie Nachweise, Methodik, Entscheidungen, Hinterfragung und Genehmigung in einer kontrollierten Datei auf.

3. Datenpunkte zuweisen, bevor die Grenzen definiert sind. Legen Sie die Spezifikationen der Kennzahlen vor den Datenabfragen fest.

4. Nur quantitative Daten erheben. Für narrative Richtlinien, Maßnahmen, Governance und Einschränkungen sind Nachweise und Kontrollen erforderlich.

5. Mit der Prüfung warten, um Kontrolllücken zu erkennen. Führen Sie zunächst Probeläufe des Managements und eine interne Hinterfragung durch.

6. Finanzielle Auswirkungen dem Nachhaltigkeitsteam überlassen. Binden Sie die Verantwortlichen aus Finanzen, Risiko, Strategie und Rechnungslegung von Anfang an ein.

7. Annehmen, dass frühere GRI-Daten direkt kopiert werden können. Stimmen Sie Wesentlichkeit, Abgrenzung, Definitionen, Zeitraum und Angabepflichten miteinander ab.

8. Vorlaufzeiten von Vorstand und Veröffentlichung unterschätzen. Reservieren Sie bei der Mobilisierung Zeitfenster für Ausschuss, Vorstand, Übersetzung, Tagging und die Integration in den Lagebericht.

9. Sachverhalte per E-Mail abschließen. Verwenden Sie ein Sachverhaltsregister mit Verantwortlichem, Schweregrad, Nachweis, Prüfer und genehmigter Lösung.

10. Veröffentlichen, bevor das Nachweisarchiv gesperrt ist. Frieren Sie die finale Berichtsversion, Berechnungen, Genehmigungen und Quelldateien gemeinsam ein.

• Bilanzrichtlinie in der durch die Richtlinie (EU) 2026/470 geänderten Fassung: rechtlicher Anwendungsbereich und Berichtspflicht.

• ESRS 1: berichtspflichtiges Unternehmen, Wertschöpfungskette, doppelte Wesentlichkeit, Wesentlichkeit von Informationen, Erstellung, Darstellung und Erleichterungen.

• ESRS 2: Governance, Strategie, IRO-Prozess, Richtlinien, Maßnahmen, Kennzahlen, Ziele und Kontrollen der Berichterstattung.

• EFRAG IG 1, IG 2 und IG 3: nicht verbindliche Unterstützung bei der Umsetzung der ESRS 2023.

• Leitlinien des CEAOB zur begrenzten Prüfungssicherheit und anwendbare nationale Standards: Planung der Prüfungssicherheit während des Übergangszeitraums der EU.

• ISSA 5000: globaler Standard für die Prüfung von Nachhaltigkeitsinformationen, der die Methodik beeinflussen kann, sofern er übernommen wurde oder anderweitig anwendbar ist.

Kann der Plan in weniger als 15 Monaten abgeschlossen werden?

Ja, bei einem einfacheren Unternehmen oder einem ausgereiften Berichtssystem, aber das Projekt sollte die Abfolge und die Kontrollen der Probeläufe beibehalten. Eine Verdichtung erhöht den Bedarf an entschlossener Governance und einem eng begrenzten Umfangsmanagement.

Sollte die DMA vor dem Berichtsjahr abgeschlossen werden?

Idealerweise sollten die Methodik und ein großer Teil der Bewertung früh genug vorliegen, um die Datenerhebung und Managementprozesse zu gestalten. Die Bewertung muss außerdem bei wesentlichen Änderungen und abschließenden Fakten aktualisiert werden.

Wann sollte der Anbieter der Prüfungssicherheit einbezogen werden?

Beschaffung und Planung der Unabhängigkeit sollten bei der Mobilisierung beginnen. Das Management kann Zeitplan, Nachweiserwartungen und organisatorische Aspekte des Auftrags frühzeitig besprechen, wobei es die Verantwortung für Methodik, Kontrollen und den Bericht behält.

Benötigen wir im ersten Zyklus neue Software?

Nicht unbedingt. Kontrollierte Tabellenkalkulationen und Repositorien können für einen begrenzten Umfang funktionieren, aber die Organisation benötigt weiterhin Definitionen, Zugriffskontrolle, Versionierung, Nachweisverknüpfungen und Überprüfung. Software ersetzt diese Kontrollen nicht.