Interne Kontrollen für UAE MRV: Vollständigkeit der Quellen, Abstimmungen, Faktoren, Schätzungen, Genehmigungen, Prüfpfade, Cybersicherheit und interne Revision

Das Gesetz legt den Rahmen für Ergebnis und Verantwortlichkeit fest: Benannte Quellen messen Emissionen regelmäßig, erstellen ein Inventar, berichten in den vorgeschriebenen Formularen, reduzieren Emissionen, bewahren Aufzeichnungen auf und unterstützen die Verifizierung durch die Behörde. Es enthält keine detaillierte unternehmensweite Kontrollanleitung. Das Management muss die Verpflichtung daher in Kontrollziele übersetzen, die getestet werden können.

• Unternehmens-/Standortregister mit Hauptbuch, Liste der Versorgerkonten und Anlagenregister abstimmen.

• Summen der Kraftstofflieferanten mit den Verbindlichkeiten aus Lieferungen und Leistungen sowie den Bestandsbewegungen abstimmen.

• Stromrechnungen mit Zählerständen, Eröffnungs-/Schließungsdaten von Standorten und Vermieterabrechnungen abstimmen.

• Kältemittelkäufe und Wartungsprotokolle mit Anlagenfüllung und Rückgewinnung abstimmen.

• Teilsummen der Aktivitätsdaten mit den Eingabebereichen der Berechnungsarbeitsmappe abstimmen.

• Faktor-IDs und Versionen in der Arbeitsmappe mit dem genehmigten Faktorenregister abstimmen.

• Endgültige Emissionen nach Quelle und Gas mit dem Übermittlungsformular und der Erklärung des Prüfers abstimmen.

• Summen der Vorperiode mit dem Register für Anpassungen oder Methodenänderungen abstimmen.

Faktoren sind Stammdaten und kein in eine Formelzelle kopierter Text. Jeder Faktor benötigt eine stabile ID, einen Herausgeber, eine Ausgabe, eine Geografie, eine Technologie, eine Zählereinheit/Nenner-Einheit, eine Heizwertbasis, eine GWP-Quelle und einen Gültigkeitszeitraum. Änderungen sollten eine Folgenabschätzung und eine genehmigte Entscheidung darüber auslösen, ob Vergleichszahlen neu berechnet werden.

Schätzungen sollten einen Grund, einen Abdeckungszeitraum, eine Proxy-Quelle, eine Formel, eine Unsicherheit oder Sensitivität, einen Prüfer und ein Datum für die Abhilfemaßnahme aufweisen. Formelzellen sollten geschützt, anhand bekannter Fälle getestet und für wesentliche Quellen unabhängig nachberechnet werden.

• Der Datenverantwortliche bestätigt die Vollständigkeit der Quellen und erläutert Auffälligkeiten.

• Der Methodenverantwortliche genehmigt die Faktorhierarchie, Formeln und Abweichungen.

• Der Prüfer aus Finanzen oder dem operativen Bereich führt Abstimmungen durch.

• Der Nachhaltigkeitsprüfer konsolidiert und hinterfragt Klassifizierung und Schätzungen.

• Der juristische Prüfer kontrolliert Aussagen, Formulierungen zur Zuständigkeit und geschützte Informationen.

• Das Management genehmigt die endgültige Darstellung und das Übermittlungspaket.

• Der Systemadministrator verwaltet den Zugriff, genehmigt jedoch nicht das Emissionsergebnis.

Datenherkunft und übergreifende Cybersicherheitsvorkehrungen darstellen.

Cyberkontrollen sind im Federal Decree-Law No. 11 nicht als detaillierte Checkliste festgelegt. Sie sind Umsetzungsschutzmaßnahmen für die Integrität und Verfügbarkeit von Nachweisen, die Unternehmen gesetzlich aufbewahren und bereitstellen müssen. Die Gestaltung der Kontrollen sollte das Risikoprofil des Unternehmens und die geltenden Cyber-/Datenschutzanforderungen der VAE widerspiegeln.

Die interne Revision kann beurteilen, ob der Kontrollrahmen angemessen ausgestaltet ist und während des Berichtszeitraums wirksam betrieben wurde. Sie kann Stichproben prüfen, Abstimmungen beobachten, Zugriffsprotokolle untersuchen und die Behebung nachverfolgen. Sie sollte weder die Daten erstellen, die sie später prüft, noch die rechtliche Erklärung der Geschäftsleitung abgeben oder ihre Arbeit als Verifizierung durch die zuständige Stelle darstellen.

„Jeder wesentliche Datenstrom wird mit einer unabhängigen operativen oder finanziellen Grundgesamtheit abgestimmt. Emissionsfaktoren werden aus einem genehmigten, versionskontrollierten Register ausgewählt. Schätzungen und Änderungen an Formeln erfordern eine dokumentierte Prüfung. Das endgültige Paket wird nach der technischen, rechtlichen und Managementgenehmigung gesperrt, und die eingereichte Version sowie die Eingangsbestätigung werden zusammen mit der fünfjährigen Nachweisakte aufbewahrt.“

• Kontrollbeschreibungen sind vorhanden, aber es wurde kein Verantwortlicher oder Nachweis zugewiesen.

• Finanzabteilung und Nachhaltigkeitsabteilung verwenden unterschiedliche Standortlisten.

• URLs von Faktoren werden ohne heruntergeladene Ausgaben gespeichert.

• Formeln werden visuell statt durch Neuberechnung geprüft.

• Schätzungen werden überschrieben, sobald Ist-Daten eintreffen, wodurch die ursprüngliche Nachvollziehbarkeit verloren geht.

• Administratorzugänge werden gemeinsam genutzt.

• Der Prüfer erhält eine andere Version als das Management.

• Die interne Revision prüft nur die Endsumme, nicht die Nachvollziehbarkeit von der Quelle bis zur Einreichung.

• Der Backup-Erfolg wird ohne einen Wiederherstellungstest angenommen.

• Eine verspätete Korrektur wird vorgenommen, ohne den eingereichten Bericht oder die Benachrichtigung der zuständigen Stelle zu beurteilen.

Führen Sie Abstimmungen zwischen Quellenbeständen und Datenströmen durch: Rechtsträger, Betriebsstätten, Konten und Ausrüstung mit den Stammdaten; Kraftstoff mit Rechnungen, Hauptbuch und Beständen; Strom und Kühlung mit Zählern und Konten; Kältemittel mit Ausrüstung und Gasbewegungen; sowie Faktoren mit dem genehmigten Register. Stimmen Sie die endgültigen Summen mit der genehmigten Arbeitsmappe, dem Einreichungsformular und der Empfangsbestätigung ab und stimmen Sie frühere Perioden mit dem Register für Neudarstellungen oder Methodikänderungen ab.

Der Prüfpfad sollte für jeden wesentlichen Datenstrom den Ersteller, den Prüfer, die Änderung, die Nachweise und die endgültig genehmigte Version ausweisen. Bewahren Sie stabile Quellen- und Faktorenkennungen, Berechnungseingaben und Formeln, Schätzungen, Genehmigungen, die gesperrte Einreichung, die Empfangsbestätigung, die Korrekturhistorie und Zugriffsprotokolle auf.

Verwenden Sie rollenbasierten Zugriff und das Prinzip der geringsten Berechtigung, Mehrfaktor-Authentifizierung, unveränderliche Änderungs- und Genehmigungsprotokolle, Verschlüsselung und sichere Übertragung, getestete Backups und Wiederherstellung, Reaktion auf Vorfälle und eine rechtliche Aufbewahrungssperre. Dies sind Implementierungsschutzmaßnahmen für die Integrität und Verfügbarkeit aufbewahrter Nachweise und keine detaillierten Kontrollen, die durch das Dekretgesetz vorgeschrieben werden.