Interne Kontrollen für IFRS-Nachhaltigkeitsangaben: Ein praxisorientiertes Rahmenwerk

Ein an den Finanzprozessen ausgerichtetes internes Kontrollrahmenwerk für die Erstellung zuverlässiger Angaben nach IFRS S1 und IFRS S2, ohne vorzugeben, dass Finanz- und Nachhaltigkeitsinformationen identisch sind.

Ein Nachhaltigkeitsbericht kann vollständig wirken und dennoch von fragilen Prozessen abhängen: unkontrollierten Tabellenkalkulationen, uneindeutigen Messgrößendefinitionen, manuell kopierten Lieferantendaten, Annahmen, die von der Finanzplanung abweichen, einer Managementprüfung, die keine Nachweise hinterlässt, und Angaben, die aus mehreren Versionen zusammengestellt werden. Diese Schwächen werden nicht dadurch behoben, dass eine abschließende Freigabe hinzugefügt wird. Das System muss in der Lage sein, wiederholt zuverlässige Informationen zu erzeugen, Fehler oder Verzerrungen zu erkennen und Nachweise darüber aufzubewahren, wie Ermessensentscheidungen getroffen wurden.

Die engste operative Analogie ist der Finanzabschluss – nicht, weil Nachhaltigkeitsinformationen mit Buchhaltungsinformationen identisch sind, sondern weil sich die Disziplin übertragen lässt. Beide benötigen einen kontrollierten Geltungsbereich, einen Berichtskalender, Datenverantwortlichkeit, Abgrenzung, Konsolidierung, Abstimmungen, Prüfung, Ausnahmeverwaltung und Autorisierung. Die Nachhaltigkeitsberichterstattung bringt eigene Risiken hinzu: Daten aus der Wertschöpfungskette, Schätzungen, wissenschaftliche Methoden, externe Faktoren, Szenarien, zukunftsbezogene Informationen sowie narrative Aussagen über Governance oder Wirksamkeit.

Mit der Finanzberichterstattung abgestimmtes internes Kontrollrahmenwerk

Die fünf COSO-Komponenten können Nachhaltigkeitskontrollen strukturieren, während die Disziplinen des Jahresabschlusses – Umfang, Periodenabgrenzung, Konsolidierung, Abstimmung, Überprüfung und Freigabe – ein operatives Rückgrat bilden.

Die COSO-Veröffentlichung von 2023 Achieving Effective Internal Control over Sustainability Reporting wendet die fünf Komponenten und 17 Prinzipien des Internal Control—Integrated Framework von 2013 auf Nachhaltigkeitsinformationen an. Die Veröffentlichung ist ausdrücklich nicht verbindlich und interpretativ. Sie ist als Strukturierungsmodell nützlich, aber ein Unternehmen sollte Kontrollziele, Verantwortliche und Nachweise an seine Berichtsrisiken, seine Rechtsordnung, seinen Reifegrad und den Umfang der Prüfungssicherheit anpassen.

Kontrollen sollten auf ein klares Berichterstattungsziel ausgerichtet sein. Ohne dieses Ziel erstellen Teams häufig lange Checklisten, die Aktivitäten belegen, aber das Risiko nicht adressieren. Für IFRS S1/S2 können die Kontrollziele nach den qualitativen Merkmalen und Anforderungen der Angaben geordnet werden.

Das Kontrollumfeld bestimmt, ob einzelne Kontrollen funktionieren, wenn der Druck zunimmt. Die Nachhaltigkeitsberichterstattung erstreckt sich häufig über Funktionen, die nicht einem einzigen Verantwortlichen unterstellt sind. Der Verwaltungsrat kann die Berichterstattung überwachen, der Finanzbereich kann für die Veröffentlichung verantwortlich sein, der Nachhaltigkeitsbereich für die Methodik, der operative Bereich für die Daten und die IT für die Systeme. Ohne ausdrückliche Befugnisse und Verantwortlichkeiten bleiben Lücken zwischen den Funktionen bestehen.

Überwachung durch Verwaltungsrat und Ausschüsse: Festlegen, welches Gremium nachhaltigkeitsbezogene Finanzangaben, wesentliche Ermessensentscheidungen, bedeutende Mängel und die abschließende Berichtsaussage überwacht.

Verantwortlichkeit der Geschäftsleitung: Eine namentlich benannte Führungskraft ernennen, die für das Berichtssystem verantwortlich ist, nicht nur für das Abschlussdokument.

Berichterstattungsrichtlinie: Rahmenwerk, Umfang, berichtendes Unternehmen, Hierarchie der Standards, Terminologie, Wesentlichkeitsprozess, Verwendung von Schätzungen, Anforderungen an Nachweise und Genehmigungsweg dokumentieren.

Kompetenz: Beurteilen, ob die Verantwortlichen und Prüfer über die für ihre Aufgaben erforderlichen technischen, branchenbezogenen, finanzwirtschaftlichen, klimabezogenen, datenbezogenen und kontrollbezogenen Kenntnisse verfügen.

Integrität und kritische Prüfung: Nicht gestützte Aussagen, verborgene Datenlücken und stillschweigende Methodenänderungen untersagen; Eskalationswege schaffen, die Prüfer vor Termindruck schützen.

Verantwortlichkeit: Die Kontrollleistung und die Behebung von Mängeln in Aufgabenziele, Abschlusszertifizierungen und die Governance-Berichterstattung aufnehmen.

Ein Datenverzeichnis ist das Pendant zu einem Kontenplan für die Berichterstattung. Es verhindert, dass ein Metrikname innerhalb der Gruppe mehrere Bedeutungen trägt, und gibt den Kontrollen ein stabiles Prüfobjekt. Das Verzeichnis sollte quantitative und narrative Felder abdecken. Beispielsweise ist „Häufigkeit der Überwachung durch den Verwaltungsrat“ ebenso ein kontrolliertes Angabefeld wie „standortbasierte Scope-2-Emissionen“ eine kontrollierte Kennzahl ist.

Das Datenwörterbuch definiert, was die Informationen bedeuten; das Nachweisregister zeigt, wodurch der berichtete Sachverhalt belegt wird. Ein einzelner Eintrag kann mehrere Nachweistypen haben: Quelldaten, Methodik, Berechnung, Prüfung und Genehmigung durch die Unternehmensführung. Das Register sollte aussagebezogen und nicht ausschließlich nach Abteilung oder Dateiname organisiert sein.

Ein kleines Team kann nicht immer jede Aufgabe trennen, sollte jedoch die folgenreichsten Entscheidungen trennen. Die Person, die eine Kennzahl erstellt oder ändert, sollte nicht die einzige Person sein, die die Methodik und das Endergebnis genehmigt. Wo eine vollständige Funktionstrennung nicht praktikabel ist, sollte eine kompensierende Überprüfung durch eine Person mit angemessener Kompetenz und Befugnis erfolgen.

Abstimmungen überführen „verbundene Informationen“ von einem Grundsatz der Erstellung in eine operative Kontrolle. Sie sollten nicht auf die Abstimmung von Summen beschränkt sein. Das Team muss Grenzen, Definitionen, Zeiträume, Währungen, Annahmen und Darstellungen über die Nachhaltigkeitsangaben, den Abschluss, das Management-Reporting und die externe Kommunikation hinweg abstimmen.

Viele Nachhaltigkeitsangaben hängen eher von Modellen als von direkten Messungen ab. Beispiele sind Scope 3-Emissionen, finanzierte Emissionen, Klimaszenarien, die Exponierung von Vermögenswerten, vermiedene Emissionen, Schätzungen zur Belegschaft und erwartete finanzielle Auswirkungen. Die Modellsteuerung sollte verhältnismäßig sein, aber dieselben Kernfragen behandeln: Zweck, Verantwortlichkeit, Eingaben, Annahmen, Logik, Validierung, Änderungen, Zugriff und Einschränkungen.

Kontrolllebenszyklus von den Daten bis zur Angabe

Kontrollen sollten von der Definition und Erfassung der Daten über die Transformation, Prüfung, Erstellung des Angabeentwurfs, Governance-Genehmigung, Veröffentlichung und nachträgliche Behebung von Fehlern nach dem Abschluss wirksam sein.

Kontrollen für Angaben sollten sowohl die Zahlen als auch die Bedeutung schützen. Eine quantitativ korrekte Kennzahl kann dennoch irreführend sein, wenn die Abgrenzung, Methode, Unsicherheit oder Vergleichsänderung weggelassen wird. Eine narrative Darstellung kann fachlich elegant, aber nicht durch Nachweise gestützt sein. Der Prüfprozess sollte daher die Bestätigung durch die Datenverantwortlichen, die Prüfung des Rahmenwerks, die Konsistenzprüfung durch den Finanzbereich, die rechtliche Prüfung und Prüfung von Aussagen sowie die Governance-Genehmigung miteinander verbinden.

Managementbestätigungen sind kein Ersatz für andere Nachweise, können aber die Verantwortlichkeitskette schließen. Der Prozess für Managementbestätigungen sollte auf das Berichtssystem zugeschnitten sein und von Personen unterzeichnet werden, die die relevanten Informationen kontrollieren. Er kann die Bestätigung umfassen, dass Datenmengen vollständig sind, Methoden und Änderungen offengelegt wurden, bekannte Betrugsfälle oder Fehler gemeldet wurden, wesentliche nachfolgende Ereignisse berücksichtigt wurden und keine wesentlichen Nachweise zurückgehalten wurden.

Verwenden Sie Bestätigungen auf mehreren Ebenen: Datenverantwortliche, Geschäftseinheit, funktionale Führungskraft und Konzernberichterstattung.

Verknüpfen Sie jede Bestätigung mit den festgelegten Verantwortlichkeiten und den Kontrollen für den Berichtszeitraum.

Führen Sie bekannte Ausnahmen auf, statt die Verantwortlichen aufzufordern, eine unrealistische uneingeschränkte Erklärung zu unterzeichnen.

Eskaliere Widersprüche zwischen Bestätigungen und anderen Nachweisen.

Bewahren Sie den endgültigen Satz von Bestätigungen zusammen mit dem Paket aus Freigabe- und Prüfungsnachweisen auf.

Ein Prozess für Mängel sollte eine isolierte Nachweislücke von einem Versagen der Kontrollgestaltung oder einem wesentlichen Berichtsrisiko unterscheiden. Bei der Beurteilung des Schweregrads sollten die Wahrscheinlichkeit und das Ausmaß einer potenziellen Falschaussage oder Auslassung, die Bedeutung der betroffenen Angabe, die Durchdringung des Prozesses und das Vorhandensein kompensierender Kontrollen berücksichtigt werden. Die für Mängel in der Finanzkontrolle verwendete Terminologie kann angepasst werden, aber die Organisation sollte ihre eigenen Eskalationsschwellen eindeutig festlegen.

Der Konzern erstellt zunächst ein Datenwörterbuch und weist den Kennzahlen stabile IDs zu. Anschließend stuft er die Risiken der Kennzahlen ein und wählt Schlüsselkontrollen für den Konsolidierungskreis des Konzerns, Faktoren, Schätzungen und Änderungen der Methodik aus. Das Finanzwesen ist für den konsolidierten Berichterstattungskalender verantwortlich; der Nachhaltigkeitsbereich für die technischen Methoden; die operativen Bereiche für die Quelldaten; und die Prüfer sind von den Erstellern getrennt. Vierteljährliche Probeläufe zeigen, dass eine Region einen anderen Sicherheitsnenner verwendet und dass Logistikdaten für Scope 3 um drei Monate verzögert vorliegen.

Statt die Unterschiede zu verbergen, legt der Konzern den genehmigten Nenner fest, stellt die Vergleichsangabe gegebenenfalls neu dar, dokumentiert die Regelung zur Verzögerung und die Unsicherheit und erstellt einen Abhilfeplan für zeitnahere Lieferantendaten. Der abschließende Bericht wird durch Abstimmungen und Bestätigungen der Verantwortlichen gestützt. Der Prozess ist nicht „vollständig automatisiert“, aber er ist kontrolliert, wiederholbar und kann einer Prüfung unterzogen werden.

Ein Nachhaltigkeitsdatenwörterbuch sollte jedem quantitativen und narrativen Feld eine stabile Kennung, Definition, Berichtsgrundlage, Einheit, Abgrenzung, Zeitraum, Methode, Quelle, verantwortliche Person, prüfende Person, Schätzstatus, Kontrollen, Fundstelle der Angabe und Änderungshistorie zuweisen. Es verhindert, dass ein Metrikname unterschiedliche Bedeutungen trägt, und gibt den Kontrollen ein stabiles Prüfobjekt.

Tabellenkalkulationen für Scope 3 sollten als Modelle gesteuert werden: Zweck, verantwortliche Person, Eingaben, Annahmen, Logik, Validierung, Zugriff, Versionsänderungen und Einschränkungen sind festzulegen. Die Berechnungslogik ist zu sperren, Belege zu Quellen und Faktoren sind aufzubewahren, Vorbereitung und Überprüfung sind zu trennen, Abgrenzungen und Summen sind abzustimmen und Schätzungen sowie Ausnahmen sind zu dokumentieren.

Stimmen Sie Abgrenzungen, Definitionen, Zeiträume, Währungen, Annahmen und narrative Darstellungen über Nachhaltigkeitsangaben, Finanzabschlüsse, Managementberichterstattung und externe Kommunikation hinweg ab. Für Treibhausgase und Energie sind außerdem Anlagenbestände, Rechnungen, Aktivitätsdaten, Emissionsfaktoren und Summen abzustimmen; dokumentierte Abweichungen, Faktoränderungen und die Freigabe durch die Finanzfunktion sind aufzubewahren.

Unterscheiden Sie zunächst eine isolierte Evidenzlücke von einem Versagen der Kontrollgestaltung oder einem wesentlichen Berichtsrisiko und bewerten Sie dann den Schweregrad anhand möglicher Falschangaben, der betroffenen Angabe, des Durchdringungsgrads und kompensierender Kontrollen. Korrigieren oder begrenzen Sie das aktuelle Problem, analysieren Sie die Grundursache, eskalieren Sie wesentliche Sachverhalte, beheben Sie den Prozess oder das System, testen Sie die Wirksamkeit erneut und überwachen Sie ein erneutes Auftreten.

Ein glaubwürdiges Rahmenwerk für interne Kontrollen wird nicht an der Anzahl der Kontrollen gemessen. Maßgeblich ist, ob das System wesentliche Fehler in der Berichterstattung verhindert oder erkennt, Nachweise bewahrt und eine zeitnahe Korrektur ermöglicht. Wenden Sie die Disziplin der Finanzberichterstattung dort an, wo sie passt, fügen Sie dort, wo dies nicht der Fall ist, nachhaltigkeitsspezifische Kontrollen hinzu und richten Sie alles an den Informationen aus, die Nutzer von IFRS S1/S2 erhalten sollen.