Benötigt ein freiwilliger EU-Nachhaltigkeitsbericht eine externe Prüfung?

Ein praxisorientierter Leitfaden zu interner Prüfung, freiwilliger Verifizierung, formeller Prüfung, Nachweisbereitschaft, Auftragsumfang und transparenter Formulierung von Aussagen für KMU.

Erwägungsgrund 5 des Delegierten Rechtsakts der Kommission C(2026) 5011 besagt, dass berichtspflichtige Unternehmen, die den Standard anwenden, zur Minimierung der Compliance-Kosten nicht verpflichtet sind, eine Prüfungssicherheit einzuholen für die von ihnen berichteten Informationen. Dies steht im Einklang mit dem freiwilligen und verhältnismäßigen Zweck des Standards. Das Fehlen einer allgemeinen Verpflichtung zur Prüfungssicherheit sollte nicht dahingehend umformuliert werden, dass eine externe Prüfung verboten oder niemals sinnvoll sei.

Anhang I Absatz 11 verlangt gesondert, dass berichtete Informationen relevant, getreu, vergleichbar, verständlich und verifizierbar sind. Verifizierbar bedeutet nicht „extern geprüft“. Es bedeutet, dass die Informationen und der sie unterstützende Prozess überprüfbar sein sollten. In der Praxis benötigt das KMU klare Definitionen, Quelldatensätze, Methoden, Nachweise der Durchsicht und eine Genehmigung, auch wenn keine unabhängige Fachperson beauftragt wird.

Abbildung 1. „Durchgesehen“, „verifiziert“ und „bestätigt“ vermitteln unterschiedliche Tätigkeiten und dürfen nicht austauschbar verwendet werden.

Eine interne Überprüfung bietet dem Management eine Grundlage für die Genehmigung der Informationen und der B1-Aussage. Sie ist Teil des Berichtsprozesses des Unternehmens und keine unabhängige Prüfung. Eine kleine Organisation darf Rollen kombinieren, doch Vorbereitung und kritische Prüfung sollten bei Kennzahlen und Aussagen mit höherem Risiko getrennt werden, wo dies in der Praxis möglich ist. Wenn eine Person beides übernimmt, sollte die Organisation eine kompensierende Prüfung durch das Management oder das Leitungsorgan ergänzen.

Die Entscheidung sollte bei den Nutzern und den Risiken ansetzen, nicht bei der Annahme, dass jeder glaubwürdige Bericht geprüft werden muss. Bei einem erstmaligen Bericht eines KMU kann die Stärkung des Datensatzes und der Nachweiskette mehr Wert schaffen, als für einen breit angelegten Auftrag zu zahlen, bevor der Prozess bereit ist. Externe Arbeiten werden dort überzeugender, wo die Informationen die Finanzlage, die vertragliche Berechtigung, öffentliche Aussagen oder eine Entscheidung mit hohem Risiko unmittelbar beeinflussen.

„Unseren Nachhaltigkeitsbericht bestätigen“ ist für einen aussagekräftigen Auftrag zu vage. Die Unternehmensleitung und der Prüfer müssen die Nachhaltigkeitsinformationen, die Berichterstattungskriterien, die Unternehmen, den Berichtszeitraum, Ausschlüsse, das Maß an Sicherheit und die vorgesehenen Nutzer festlegen. Gegenstand könnten der vollständige Bericht nach Option A, ausgewählte B3-Emissionen, die B8-Tabelle zur Belegschaft, die B1-Compliance-Erklärung oder ein separates Datenpaket sein. Jede Wahl führt zu einer anderen Nachweisanforderung und Schlussfolgerung.

Der Freiwillige Standard selbst schreibt keinen Standard für den externen Prüfungsauftrag vor. Der Prüfer muss die geeignete fachliche und rechtliche Grundlage bestimmen. Zum Redaktionsschluss bietet der International Standard on Sustainability Assurance (ISSA) 5000 des IAASB eine globale Grundlage für die Prüfung von Nachhaltigkeitsinformationen, ist für verpflichtende und freiwillige Prüfungsaufträge konzipiert und gilt für Informationen, die für am oder nach dem 15. Dezember 2026 beginnende Zeiträume berichtet werden; eine vorzeitige Anwendung ist zulässig. Die Zeitpunkte der Übernahme in den jeweiligen Rechtsordnungen und lokale Entsprechungen können abweichen.

ISAE 3000 (Revised) ist der IAASB-Standard für Prüfungsaufträge, die nicht Prüfungen oder prüferischen Durchsichten historischer Finanzinformationen entsprechen, und wurde historisch für Nachhaltigkeits- und andere externe Berichtsaufträge verwendet. Die Anwendbarkeit nach dem Inkrafttreten von ISSA 5000 sollte unter Verwendung der aktuellen IAASB-Leitlinien und der lokalen Übernahme mit dem Prüfer vereinbart werden. Für eine Treibhausgasbilanz legt ISO 14064-3:2019 Grundsätze und Anforderungen fest und enthält Leitlinien für Verifizierung und Validierung. Eine ISO-Verifizierung für eine bestimmte Kennzahl stellt nicht automatisch die Prüfung des vollständigen Berichts nach dem Freiwilligen Standard sicher.

Begrenzte und hinreichende Sicherheit sind unterschiedliche Auftragsniveaus mit unterschiedlichen Verfahren und Formen der Schlussfolgerung. Hinreichende Sicherheit ist das höhere Niveau, aber keine absolute Sicherheit. Begrenzte Sicherheit ist eine aussagekräftige Prüfungssicherheit, keine beiläufige Durchsicht. Es ist irreführend, eines der beiden Niveaus in einen universellen Prozentsatz der Genauigkeit oder einen festen Prüfungsumfang zu übersetzen, weil die Arbeiten von Risiken, Wesentlichkeit, Kriterien, Nachweisen und dem Ermessen der prüfenden Person abhängen.

Stärken Sie die Prüfung durch das Management. Vervollständigen Sie den Offenlegungsindex, das Nachweisregister, die Abstimmungen, die Überprüfung von Schätzungen und die Freigabezeichnung.

Führen Sie eine Bereitschaftsprüfung durch. Bitten Sie eine unabhängige prüfende Person, vor einem Prüfungsauftrag Lücken bei Kriterien, Nachweisen, Abgrenzungen, Kontrollen und Formulierungen zu identifizieren.

Wählen Sie die wichtigsten Informationen aus. Ziehen Sie eine verifikationsspezifische Prüfung einzelner Kennzahlen in Betracht, wenn die Nachfrage der Nutzenden begrenzt ist, etwa bei THG-Emissionen.

Vereinbaren Sie den Auftrag. Legen Sie Kriterien, Prüfungsgegenstand, Niveau, Zeitraum, Abgrenzung, vorgesehene Nutzende, zu erbringende Leistungen und den Zugang zu Nachweisen fest.

Schaffen Sie vor der Feldarbeit Abhilfe. Klären Sie nicht belegte Aussagen, fehlende Daten-Grundgesamtheiten, uneinheitliche Abgrenzungen und offene Ausnahmefälle.

Kontrollieren Sie den endgültigen Bericht. Stimmen Sie Umfang und Schlussfolgerung der prüfenden Person mit jedem Verweis auf Prüfungssicherheit, jedem Prüfzeichen und jeder Aussage in der Veröffentlichung ab.

Führen Sie fort. Bewahren Sie Feststellungen, Nachweisanfragen, Anpassungen und Verbesserungen der Kontrollen für den nächsten Berichtszyklus auf.

Abbildung 2. KMU können schrittweise Vertrauen aufbauen und auf der durch Nutzerbedürfnisse und Risiken gerechtfertigten Stufe anhalten.

Organisation. Alder Packaging Ltd ist ein hypothetischer Zulieferer mit 115 Beschäftigten. Sein größter Kunde verlangt für die Beschaffungsbewertung unabhängig verifizierte Scope-1- und Scope-2-Emissionen. Der Vorstand möchte außerdem Sicherheit hinsichtlich des vollständigen Option-A-Berichts, aber kein Vertrag verlangt eine Prüfungssicherheit für den gesamten Bericht.

Entscheidung. Die Geschäftsleitung beauftragt zunächst eine Prüfung der Prüfungsbereitschaft des vollständigen Berichts. Die Prüfung identifiziert eine uneinheitliche Behandlung der Energie an gemieteten Standorten, einen nicht belegten Satz zur Wirksamkeit der Richtlinie und unvollständige Nachweise des Prüfers für die Belegschaftskennzahlen. Das Unternehmen behebt diese Feststellungen und hält die Genehmigung des vollständigen Berichts durch die Geschäftsleitung aufrecht.

Externe Beauftragung. Anschließend beauftragt es eine metrikspezifische GHG-Verifizierung für die vom Kunden verlangte Abgrenzung und den verlangten Zeitraum anhand vereinbarter Kriterien. Die Erklärung des Verifizierers deckt nur die GHG-Erklärung ab. Im öffentlichen Bericht wird angegeben, dass die Geschäftsleitung den vollständigen Option-A-Bericht überprüft und genehmigt hat; außerdem werden die verifizierten GHG-Informationen separat mit einem direkten Verweis auf die Verifizierungserklärung ausgewiesen.

Warum dies verhältnismäßig ist. Die Beauftragung entspricht der tatsächlichen Kundenentscheidung, vermeidet den Eindruck einer Prüfungssicherheit für nicht geprüfte narrative Informationen und nutzt die Feststellungen zur Prüfungsbereitschaft, um das umfassendere Berichtssystem für eine künftige Prüfungssicherheit zu stärken.

Ein KMU kann nach dem freiwilligen EU-Standard berichten, ohne eine externe Prüfung einzuholen. Glaubwürdigkeit beginnt mit der Verantwortung des Managements, kontrollierten Nachweisen, dokumentierten Schätzungen, Vollständigkeit auf Paragraphenebene und einer ehrlichen B1-Aussage. Externe Leistungen sollten anschließend ausgewählt werden, weil sie einer tatsächlichen Nutzer- oder Risikoentscheidung dienen – nicht, weil „geprüft“ stärker klingt. Die sicherste öffentliche Aussage ist die präziseste: wer die Arbeit durchgeführt hat, welche Informationen abgedeckt waren, anhand welcher Kriterien, für welchen Zeitraum und welchen Rechtsträger, auf welcher Ebene und wo die Schlussfolgerung nachgelesen werden kann.

Ein Prüfungsdienstleister wird gewöhnlich die Berichtsgrundlage und -grenze, Genehmigungen durch die Governance, das Datenwörterbuch, das Evidenzregister, die Quelldaten-Grundgesamtheiten, Berechnungen, Schätzungen, Abstimmungen, Auslassungen und Korrekturaufzeichnungen anfordern. Die genaue Anforderung hängt vom definierten Prüfungsgegenstand, den Kriterien, dem Zeitraum und dem Prüfungsumfang ab; daher sollten Nachweise für die tatsächlich abgedeckten Informationen zusammengestellt werden.