Wie Sie einen GRI-Bericht für eine externe Prüfung vorbereiten

Technischer Status: quellenbasierter Entwurf für die Veröffentlichung; vor der Freigabe ist eine abschließende fachliche Prüfung durch Menschen erforderlich.

GRI empfiehlt Organisationen, interne Kontrollen einzusetzen und eine externe Prüfung anzustreben, um die Glaubwürdigkeit der Nachhaltigkeitsberichterstattung zu erhöhen; GRI 1 macht die externe Prüfung jedoch nicht zur Voraussetzung für eine Berichterstattung in Übereinstimmung mit den GRI-Standards. Angabe 2-5 verlangt von der Organisation, ihre Richtlinie und Praxis für das Anstreben einer externen Prüfung zu erläutern und, sofern eine Prüfung durchgeführt wurde, den Prüfbericht bereitzustellen sowie den Umfang, die Grundlage, die Standards, den Grad, die Einschränkungen und die Beziehung zum Anbieter zu beschreiben.

Die Prüfungsbereitschaft verfolgt daher zwei Ziele. Sie bereitet Informationen vor, die anhand geeigneter Kriterien geprüft werden können, und stellt sicher, dass die öffentliche Beschreibung der Prüfung korrekt ist. Das Projekt sollte das Berichterstattungssystem stärken, selbst wenn die abschließende Beauftragung nur ausgewählte Angaben umfasst.

Eine Aufforderung zur Angebotsabgabe mit der Formulierung „Prüfen Sie unseren GRI-Bericht“ ist nicht hinreichend präzise. Die Organisation sollte zunächst ein Memorandum zu Umfang und Kriterien erstellen. Darin müssen die Prüfungshandlungen des Prüfers nicht vorweggenommen werden; es sollte jedoch der beabsichtigte Prüfungsgegenstand und festgelegt werden, wofür das Management einzustehen bereit ist.

GRI 1 empfiehlt einen Anbieter von Prüfungssicherheitsleistungen, der von der Organisation unabhängig ist, nachweislich über Fachkompetenz im Gegenstand und in Prüfungssicherheitsverfahren verfügt, Qualitätskontrollen unterliegt sowie systematisch, dokumentiert und evidenzbasiert arbeitet. ISSA 5000 ist berufsstandsübergreifend: Es kann von Berufsangehörigen der Wirtschaftsprüfung und anderen Prüfern angewendet werden, die die geltenden Anforderungen an Ethik, Qualitätsmanagement und Fachkompetenz erfüllen.

Im Beschaffungsprozess sollte das Auftragsteam und nicht nur die Marke der Firma bewertet werden. Fragen Sie, wer die Arbeiten leiten wird, welche Spezialisten Treibhausgas-, Sozial-, Menschenrechts- oder Wertschöpfungsketteninformationen prüfen werden, wie Komponenten der Gruppe abgedeckt werden, welcher Qualitätsüberprüfung sie unterliegen und wie Gefährdungen der Unabhängigkeit identifiziert und behandelt werden.

Die Nachweismatrix ist das zentrale Ergebnis für die Prüfungsbereitschaft. Sie zerlegt jede in den Prüfungsumfang fallende Angabe in Kriterien und verknüpft jede veröffentlichte Aussage mit Quelldaten, Berechnungs- oder Narrativdateien, den Verantwortlichen für Kontrollen und Freigaben. Außerdem wird darin angegeben, welche Nachweise öffentlich sind und welche weiterhin zugriffsbeschränkt bleiben.

Abbildung 1. Prüfungsbereitschaft erfordert Rückverfolgbarkeit von der veröffentlichten Angabe zu Kriterien, Berechnung, Quellnachweis und Kontrolle.

Eine Berechnung kann einmalig numerisch korrekt sein und dennoch schwer prüfbar sein, wenn der Prozess nicht kontrolliert wird. Bei der Bereitschaftsprüfung sollte gefragt werden, wie Daten initiiert, erfasst, geändert, konsolidiert, überprüft und genehmigt werden. Wichtige Kontrollen umfassen die Stammdaten-Governance, Zugriffsrechte, Einheitenvalidierung, automatisierte Schnittstellen, die Überprüfung manueller Buchungen, Vollständigkeitsabstimmungen, die Versionskontrolle von Faktoren, die Genehmigung von Schätzungen, die Varianzanalyse, die Beurteilung von Anpassungen früherer Angaben und die Freigabe zur Veröffentlichung.

Für narrative Angaben sind Kontrollen ebenso wichtig. Das Team sollte die während des Berichtszeitraums geltende Richtlinie oder Verpflichtung, Nachweise ihrer Umsetzung, zur Unterstützung von Aussagen zur Wirksamkeit verwendete Ergebnisse, Governance-Protokolle, Nachweise von Stakeholdern, Einschränkungen und Genehmigungen aufbewahren. Ein ausgefeilter Absatz ohne Nachweiskette stellt ein Prüfungsrisiko dar.

Wählen Sie eine Stichprobe risikoreicher Angaben aus und verfolgen Sie diese von Anfang bis Ende: vom Ausgangsereignis über das System, die Konsolidierung, die Berechnung und die Überprüfung bis zum veröffentlichten Text. Am Prozessdurchlauf sollten die tatsächlich erstellende und die tatsächlich überprüfende Person beteiligt sein. Dabei sollten manuelle Übergaben, nicht aufgezeichnete Ermessensentscheidungen, Überschreibungen in Tabellenkalkulationen, uneinheitliche Abgrenzungen und Nachweise ermittelt werden, die erst nachträglich erstellt werden.

Das Prüfungsrisiko entsteht, wenn die Organisation keine vollständige Gesamtheit der Auswirkungen, die Rolle der Sector Standards, die zur Identifizierung der Auswirkungen verwendeten Quellen, die Kriterien für die Bedeutung, die Art und Weise, wie Nachweise von Stakeholdern in die Beurteilung eingeflossen sind, die Gründe für die Auswahl der Schwellenwerte und die Person, die die endgültigen wesentlichen Themen genehmigt hat, aufzeigen kann. Eine Matrix ohne die zugrunde liegende Nachweiskette ist selten ausreichend.

Für die Angabepflichten 2-1 bis 2-5 dürfen keine Gründe für das Weglassen verwendet werden. Häufige Probleme sind Inkonsistenzen zwischen den Rechtsträgern und der Nachhaltigkeitsberichtsgrenze, nicht erläuterte Abweichungen von der Finanzkonsolidierung, eine Abweichung zwischen Berichtszeiträumen, nicht dokumentierte Neudarstellungen und eine Formulierung zur Prüfung, die weiter gefasst ist als der Bericht des Prüfenden. Angaben zu Arbeitskräften und zur Governance führen ebenfalls zu Herausforderungen bei Definitionen über verschiedene Systeme hinweg.

Allgemeine Beschreibungen von Richtlinien reichen nicht aus. Die Nachweiskarte sollte tatsächliche und potenzielle Auswirkungen, Richtlinien oder Verpflichtungen, Maßnahmen, die Nachverfolgung der Wirksamkeit, die Einbindung von Stakeholdern und die Art und Weise abdecken, wie daraus gewonnene Erkenntnisse berücksichtigt werden. Aussagen zur Wirksamkeit erfordern Nachweise zu Ergebnissen oder eine sorgfältige Formulierung von Einschränkungen. Aktivitäten wie durchgeführte Schulungen oder Prüfungen belegen für sich genommen nicht, dass sich die Auswirkungen verbessert haben.

Häufige Feststellungen betreffen die Berichtsgrenze, Definitionen, Einheiten, die Quelle des Umrechnungsfaktors, Schätzungen, Vollständigkeit, Änderungen der Methodik, die Neuberechnung des Basisjahres, inkonsistente Vergleichszahlen und die fehlende Abstimmung mit operativen oder Finanzsystemen. Bei Kennzahlen der Wertschöpfungskette wird der Prüfende häufig die Datenqualität der Lieferanten, die Stichprobenbildung und die Extrapolation hinterfragen.

Eine Probeprüfung sollte stattfinden, solange noch Zeit bleibt, den Bericht zu ändern und die Nachweise zu stärken. Testen Sie eine repräsentative Mischung aus quantitativen Kennzahlen mit hohem Risiko, narrativen Angaben des Managements, Schätzungen, Gruppenbestandteilen und Webverweisen. Feststellungen sollten mit Schweregrad, betroffener Angabe, Kriterium, Nachweislücke, Verantwortlichem, Fälligkeitsdatum und vereinbarter Lösung erfasst werden.

Nicht jedes Problem erfordert mehr Text. Die angemessene Abhilfe kann darin bestehen, eine Kontrolle zu verbessern, eine Zahl zu korrigieren, eine Aussage einzugrenzen, eine Einschränkung anzugeben, eine Abgrenzung zu überarbeiten, einen Grund für eine Auslassung hinzuzufügen oder nicht belegte Formulierungen zu entfernen. Die für die Berichterstattung verantwortliche Person sollte ein einziges Feststellungsprotokoll führen, damit der Prüfer, die Datenverantwortlichen, die Redaktion und die letztlich genehmigende Person mit demselben Status arbeiten.

ISSA 5000 verlangt schriftliche Erklärungen zu Angelegenheiten wie der Verantwortung des Managements für die Erstellung der Nachhaltigkeitsinformationen, der Bereitstellung aller relevanten Informationen und des Zugangs, nicht korrigierten falschen Darstellungen, Annahmen, Kontrollmängeln, Betrug oder Nichteinhaltung sowie nachfolgenden Ereignissen, soweit zutreffend. Die Erklärungen werden so nahe wie praktisch möglich am Datum des Berichts über die Prüfungssicherheit datiert.

Der endgültige Bericht sollte leicht erkennen lassen, was Gegenstand der Prüfungssicherheit war, anhand welcher Kriterien, auf welchem Niveau und für welchen Zeitraum. Angabe 2-5 sollte mit dem Bericht über die Prüfungssicherheit verknüpft sein und die Beziehung zum Anbieter beschreiben. Die Gestaltung des Berichts sollte ein vertrauenerweckendes Prüfzeichen nicht von der Einschränkung des Prüfungsumfangs trennen oder den Eindruck erwecken, dass ungeprüfte narrative Angaben erfasst sind.

Abbildung 2. Beispielhafter Zehn-Wochen-Plan für die Prüfungsbereitschaft.

Das Team für die Prüfungsbereitschaft entfernt zunächst die mehrdeutige Formulierung „Prüfungssicherheit über den Nachhaltigkeitsbericht“ aus dem Entwurf. Es erstellt eine Tabelle zum Umfang auf Kennzahlenebene, stimmt die Mitarbeiterdaten mit der Konsolidierungsabgrenzung der Personalabteilung ab, dokumentiert die markt- und standortbasierten Methoden für Scope 2, prüft Nachweise von Abfallentsorgern und trennt Geldbeiträge von Programmergebnissen. Eine Probeprüfung ergibt, dass zwei Gemeinschaftskennzahlen auf Schätzungen der Projektteams ohne aufbewahrte Nachweise beruhten. Das Management beschafft entweder Nachweise oder nimmt die Kennzahlen aus dem Umfang der Prüfung mit begrenzter Sicherheit heraus und erläutert die Einschränkung.

Bei der Veröffentlichung verweist der Bericht auf die Schlussfolgerung des Prüfers, benennt die ausgewählten Informationen und den Grad der begrenzten Sicherheit und stellt klar, dass der Wesentlichkeitsprozess und andere narrative Angaben nicht einbezogen waren. Das Projekt erstellt außerdem einen Plan für Jahr 2, um den Umfang der Prüfung mit begrenzter Sicherheit erst dann auszuweiten, wenn Nachweise zu GRI 3-3 und Kontrollen in der Wertschöpfungskette ausgereift sind.

Überführen Sie nach der Veröffentlichung das Feststellungsprotokoll in den Kontrollplan für den nächsten Berichtszyklus. Verfolgen Sie wiederkehrende Probleme nach Angabe, Ursache und Verantwortlichem; bewahren Sie das endgültige Nachweispaket auf; und entscheiden Sie, ob der Prüfungsumfang erweitert, unverändert beibehalten oder eingeschränkt werden sollte. Ein ausgereiftes Prüfungsprogramm wächst mit der Zuverlässigkeit des Berichtssystems, nicht mit dem Anspruch der Berichtsgestaltung.

Der Prüfungsdienstleister darf bestimmte Vorbereitungsarbeiten durchführen, sofern die geltenden Anforderungen an Ethik und Unabhängigkeit dies gestatten und die Arbeiten keine unkontrollierte Selbstprüfung oder eine andere Gefährdung begründen. Legen Sie die Dienstleistungen und Rollen vor der Bestellung fest, beurteilen Sie Schutzmaßnahmen und belassen Sie die Verantwortung für Entscheidungen, Nachweise und die Erstellung bei der Leitung.

Managementbestätigungen unterstützen einen Prüfungsauftrag, ersetzen jedoch keine zugrunde liegenden Nachweise, Datenkontrollen oder Abhilfemaßnahmen. Sie sollten die Verantwortung der Leitung, Vollständigkeit, Methoden, Annahmen und bekannten Einschränkungen bestätigen, während ungelöste Nachweislücken Feststellungen bleiben, die den Auftragsumfang oder die Schlussfolgerung beeinflussen können.