Cómo preparar un informe GRI para el aseguramiento externo

Estado técnico: borrador de publicación basado en fuentes; se requiere una revisión técnica humana final antes de su publicación.

GRI fomenta que las organizaciones utilicen controles internos y soliciten un aseguramiento externo para mejorar la credibilidad de la información sobre sostenibilidad, pero GRI 1 no convierte el aseguramiento externo en una condición para informar de conformidad. El Contenido 2-5 exige que la organización explique su política y práctica para solicitar un aseguramiento externo y, cuando se haya obtenido el aseguramiento, proporcione el informe de aseguramiento y describa el alcance, el fundamento, las normas, el nivel, las limitaciones y la relación con el proveedor.

Por tanto, la preparación para el aseguramiento tiene dos objetivos. Prepara información que pueda comprobarse con respecto a criterios adecuados y garantiza que la descripción pública del aseguramiento sea exacta. El proyecto debería fortalecer el sistema de información aunque el encargo final abarque únicamente determinados contenidos.

Una solicitud de propuestas que diga «asegurar nuestro informe GRI» no es suficientemente precisa. La organización debería preparar primero un memorando sobre el alcance y los criterios. No necesita predeterminar los procedimientos del profesional, pero debería definir la materia objeto prevista y aquello que la dirección está dispuesta a respaldar.

GRI 1 recomienda un proveedor de aseguramiento que sea independiente de la organización, demuestre competencia en la materia y en las prácticas de aseguramiento, esté sujeto a controles de calidad, y trabaje de forma sistemática, documentada y basada en evidencias. ISSA 5000 es independiente de la profesión: puede ser aplicado por contadores profesionales y otros profesionales de aseguramiento que cumplan los requisitos aplicables de ética, gestión de la calidad y competencia.

El proceso de contratación debería evaluar al equipo del encargo, no solo la marca de la firma. Pregunte quién dirigirá el trabajo, qué especialistas pondrán a prueba la información sobre GEI, aspectos sociales, derechos humanos o cadena de valor, cómo se cubrirán los componentes del grupo, qué revisión de calidad se aplicará y cómo se identificarán y abordarán las amenazas a la independencia.

El mapa de evidencia es el entregable central de preparación. Desglosa cada información a revelar incluida en el alcance en criterios y conecta cada afirmación publicada con la evidencia fuente, los archivos de cálculo o narrativos, los responsables de los controles y las aprobaciones. También identifica qué evidencia es pública y cuál permanece restringida.

Figura 1. La preparación para el aseguramiento requiere trazabilidad desde la información a revelar publicada hasta los criterios, el cálculo, la evidencia fuente y el control.

Un cálculo puede ser numéricamente correcto una vez y aun así ser difícil de someter a aseguramiento si el proceso no está controlado. Las pruebas de preparación deberían preguntar cómo se inician, capturan, modifican, consolidan, revisan y aprueban los datos. Entre los controles importantes se incluyen la gobernanza de los datos maestros, los derechos de acceso, la validación de unidades, las interfaces automatizadas, la revisión de asientos manuales, las conciliaciones de integridad, el control de versiones de los factores, la aprobación de estimaciones, el análisis de variaciones, la evaluación de reexpresiones y la aprobación final para publicación.

En el caso de las divulgaciones narrativas, los controles son igualmente importantes. El equipo debería conservar la política o el compromiso vigente durante el periodo de reporte, la evidencia de implementación, los resultados utilizados para respaldar las afirmaciones sobre eficacia, las actas de gobernanza, la evidencia de las partes interesadas, las limitaciones y las aprobaciones. Un párrafo pulido sin un rastro de fuentes supone un riesgo para el aseguramiento.

Seleccione una muestra de divulgaciones de alto riesgo y sígalas de principio a fin: desde el evento fuente hasta el sistema, la consolidación, el cálculo, la revisión y el texto publicado. El recorrido debería involucrar al preparador y al revisor reales. Debería identificar las transferencias manuales, los juicios no registrados, las anulaciones en hojas de cálculo, los límites incoherentes y la evidencia que se produce únicamente a posteriori.

El riesgo de aseguramiento surge cuando la organización no puede demostrar un universo completo de impactos, la función de los Estándares Sectoriales, las fuentes utilizadas para identificar los impactos, los criterios de significatividad, cómo la evidencia de las partes interesadas fundamentó el juicio, por qué se seleccionaron los umbrales y quién aprobó los temas materiales finales. Una matriz sin el correspondiente rastro de evidencia rara vez es suficiente.

Los Contenidos 2-1 a 2-5 no pueden utilizar razones para la omisión. Entre los problemas habituales se incluyen la falta de coherencia entre las entidades jurídicas y el límite de sostenibilidad, las desviaciones no explicadas de la consolidación financiera, la falta de correspondencia del periodo de información, las reexpresiones no documentadas y una redacción sobre el aseguramiento más amplia que el informe del profesional. Los contenidos sobre trabajadores y gobernanza también generan desafíos de definición entre sistemas.

Las descripciones genéricas de políticas no son suficientes. El mapa de evidencia debería abarcar los impactos reales y potenciales, las políticas o compromisos, las acciones, el seguimiento de la eficacia, la participación de las partes interesadas y cómo se incorporan las enseñanzas. Las afirmaciones sobre la eficacia necesitan evidencia de resultados o una redacción cuidadosa de las limitaciones. Actividades como impartir formación o realizar auditorías no demuestran por sí mismas que los impactos hayan mejorado.

Los hallazgos habituales se refieren al límite de información, las definiciones, las unidades, la fuente de los factores, las estimaciones, la integridad, los cambios en la metodología, el recálculo del año base, los comparativos incoherentes y la falta de conciliación con los sistemas operativos o financieros. En el caso de las métricas de la cadena de valor, el proveedor suele cuestionar la calidad de los datos de los proveedores, el muestreo y la extrapolación.

Debería realizarse una revisión en seco mientras aún haya tiempo para cambiar el informe y reforzar la evidencia. Ponga a prueba una combinación representativa de métricas cuantitativas de alto riesgo, información narrativa de la dirección, estimaciones, componentes del grupo y referencias web. Los hallazgos deberían registrarse con la gravedad, la información afectada, el criterio, la deficiencia de evidencia, el responsable, la fecha de vencimiento y la resolución aceptada.

No todos los problemas requieren más texto. La solución adecuada puede consistir en mejorar un control, corregir una cifra, limitar una afirmación, revelar una limitación, revisar un límite, añadir un motivo para la omisión o eliminar un texto no respaldado. El responsable del informe debería mantener un único registro de hallazgos para que el profesional, los responsables de los datos, el editor y el aprobador final trabajen con el mismo estado.

La ISSA 5000 exige manifestaciones escritas sobre asuntos como la responsabilidad de la dirección de preparar la información sobre sostenibilidad, proporcionar toda la información y el acceso pertinentes, las incorrecciones no corregidas, los supuestos, las deficiencias de control, el fraude o incumplimiento y los hechos posteriores, según corresponda. Las manifestaciones llevan una fecha lo más cercana posible a la fecha del informe de aseguramiento.

El informe final debería facilitar la identificación de qué fue objeto de aseguramiento, con respecto a qué criterios, a qué nivel y para qué periodo. La Divulgación 2-5 debería enlazar con el informe de aseguramiento y describir la relación con el proveedor. El diseño del informe no debería separar una insignia tranquilizadora de aseguramiento de la limitación del alcance ni dar a entender que la información narrativa no auditada está cubierta.

Figura 2. Plan ilustrativo de preparación para el aseguramiento de diez semanas.

El equipo de preparación elimina primero del borrador la expresión ambigua “aseguramiento sobre el informe de sostenibilidad”. Crea una tabla del alcance a nivel de métrica, concilia los datos de empleados con el límite de consolidación de recursos humanos, documenta los métodos de Scope 2 basados en el mercado y en la ubicación, prueba la evidencia de los contratistas de residuos y separa las contribuciones en efectivo de los resultados de los programas. Una revisión en seco determina que dos métricas comunitarias se basaban en estimaciones del equipo del proyecto sin documentación de respaldo conservada. La dirección obtiene la evidencia o elimina las métricas del alcance objeto de aseguramiento y explica la limitación.

En la publicación, el informe incluye un enlace a la conclusión del profesional, identifica la información seleccionada y el nivel de seguridad limitada, y deja claro que el proceso de materialidad y las demás divulgaciones narrativas no estaban incluidos. El proyecto también crea un plan para el Año 2 a fin de ampliar el aseguramiento únicamente después de que maduren la evidencia de GRI 3-3 y los controles de la cadena de valor.

Después de la publicación, convierta el registro de hallazgos en el plan de control del siguiente ciclo de información. Realice un seguimiento de los problemas recurrentes por divulgación, causa raíz y responsable; conserve el paquete final de evidencia; y decida si el alcance del aseguramiento debe ampliarse, mantenerse estable o reducirse. Un programa de aseguramiento maduro crece al ritmo de la fiabilidad del sistema de información, no al de la ambición del diseño del informe.

El proveedor de aseguramiento puede realizar parte del trabajo de preparación cuando los requisitos éticos y de independencia aplicables lo permitan y el trabajo no cree una amenaza de autorrevisión u otra amenaza que no se gestione. Defina los servicios y las funciones antes del nombramiento, evalúe las salvaguardas y mantenga a la dirección responsable de las decisiones, la evidencia y la preparación.

Las declaraciones de la dirección respaldan un encargo de aseguramiento, pero no sustituyen la evidencia subyacente, los controles de datos ni las medidas correctivas. Deben confirmar la responsabilidad de la dirección, la integridad, los métodos, las hipótesis y las limitaciones conocidas, mientras que las brechas de evidencia no resueltas siguen siendo hallazgos que pueden afectar al alcance del encargo o a la conclusión.