Controles internos sobre la información a revelar de sostenibilidad conforme a las NIIF: un marco práctico

Un marco de control interno alineado con las finanzas para producir información fiable conforme a IFRS S1 e IFRS S2 sin pretender que la información financiera y la de sostenibilidad sean idénticas.

Un informe de sostenibilidad puede parecer completo y, aun así, depender de procesos frágiles: hojas de cálculo no controladas, definiciones ambiguas de las métricas, datos de proveedores copiados manualmente, supuestos que difieren de la planificación financiera, revisiones de la dirección que no dejan evidencia y datos a revelar compilados a partir de múltiples versiones. Estas debilidades no se solucionan añadiendo una aprobación final. El sistema debe ser capaz de producir información fiable de forma reiterada, detectar errores o sesgos y conservar evidencia de cómo se tomaron las decisiones.

La analogía operativa más cercana es el cierre financiero, no porque la información de sostenibilidad sea idéntica a la información contable, sino porque la disciplina es transferible. Ambas necesitan un perímetro controlado, un calendario de información, propiedad de los datos, fecha de corte, consolidación, conciliaciones, revisión, gestión de excepciones y autorización. La información de sostenibilidad añade sus propios riesgos: datos de la cadena de valor, estimaciones, metodologías científicas, factores externos, escenarios, información prospectiva y afirmaciones narrativas sobre la gobernanza o la eficacia.

Marco de control interno alineado con las finanzas

Los cinco componentes de COSO pueden organizar los controles de sostenibilidad, mientras que las disciplinas de cierre de fin de año relativas al alcance, el corte, la consolidación, la conciliación, la revisión y la aprobación final proporcionan una estructura operativa.

La publicación de COSO de 2023 Achieving Effective Internal Control over Sustainability Reporting aplica los cinco componentes y los 17 principios del 2013 Internal Control—Integrated Framework a la información sobre sostenibilidad. La publicación es explícitamente no autoritativa e interpretativa. Es útil como modelo organizativo, pero una entidad debería adaptar los objetivos de control, los responsables y la evidencia a sus riesgos de reporte, jurisdicción, madurez y alcance del aseguramiento.

Los controles deben responder a un objetivo claro de información. Sin ese objetivo, los equipos suelen elaborar listas de comprobación extensas que demuestran actividad, pero no abordan el riesgo. Para IFRS S1/S2, los objetivos de control pueden organizarse en torno a las cualidades y los requisitos de la información a revelar.

El entorno de control determina si los controles individuales funcionarán cuando aumente la presión. La presentación de información sobre sostenibilidad suele abarcar funciones que no dependen de un único responsable. El consejo puede supervisar la presentación de información, finanzas puede ser responsable de la publicación, sostenibilidad puede ser responsable de la metodología, operaciones puede ser responsable de los datos y TI puede ser responsable de los sistemas. Sin autoridad y rendición de cuentas explícitas, quedan brechas entre las funciones.

Supervisión por el consejo y los comités: definir qué órgano supervisa las divulgaciones financieras relacionadas con la sostenibilidad, los juicios materiales, las deficiencias significativas y la afirmación final sobre la presentación de información.

Rendición de cuentas de los ejecutivos: designar a un ejecutivo identificado como responsable del sistema de presentación de información, no solo del documento final.

Política de presentación de información: documentar el marco, el alcance, la entidad informante, la jerarquía de normas, la terminología, el proceso de materialidad, el uso de estimaciones, las expectativas sobre la evidencia y la vía de aprobación.

Competencia: evaluar si los responsables y revisores tienen las capacidades técnicas, sectoriales, financieras, climáticas, de datos y de control necesarias para sus responsabilidades.

Integridad y cuestionamiento: prohibir las afirmaciones no fundamentadas, las brechas de datos ocultas y los cambios silenciosos de método; crear vías de escalamiento que protejan a los revisores de la presión de los plazos.

Rendición de cuentas: incluir el desempeño de los controles y las medidas correctivas en los objetivos del puesto, las certificaciones de cierre y la información presentada a los órganos de gobierno.

Un diccionario de datos es el equivalente a un plan de cuentas para la presentación de información. Evita que un mismo nombre de métrica tenga varios significados en el grupo y proporciona a los controles un objeto estable que probar. El diccionario debería abarcar campos cuantitativos y narrativos. Por ejemplo, “Frecuencia de supervisión del consejo” es un campo de divulgación controlado, al igual que “emisiones de Alcance 2 basadas en la ubicación” es una métrica controlada.

El diccionario de datos define qué significa la información; el registro de evidencias muestra qué respalda el hecho comunicado. Un solo elemento puede tener varios tipos de evidencia: datos de origen, metodología, cálculo, revisión y aprobación de gobernanza. El registro debería basarse en afirmaciones, en lugar de organizarse únicamente por departamento o nombre de archivo.

Un equipo pequeño no siempre puede separar todas las tareas, pero debería separar las decisiones más trascendentales. La persona que crea o modifica una métrica no debería ser la única que aprueba el método y el resultado final. Cuando la segregación completa no sea viable, utilice una revisión compensatoria por parte de alguien con la competencia y autoridad adecuadas.

Las conciliaciones convierten la «información conectada» de un principio de redacción en un control operativo. No deberían limitarse a conciliar totales. El equipo debe conciliar los límites, las definiciones, los periodos, las monedas, los supuestos y las narrativas en las divulgaciones de sostenibilidad, los estados financieros, los informes de gestión y las comunicaciones externas.

Muchas divulgaciones de sostenibilidad dependen de modelos en lugar de mediciones directas. Algunos ejemplos son las emisiones de Alcance 3, las emisiones financiadas, los escenarios climáticos, la exposición de activos, las emisiones evitadas, las estimaciones de la plantilla y los efectos financieros previstos. La gobernanza de modelos debería ser proporcional, pero debería abordar las mismas preguntas fundamentales: propósito, titularidad, datos de entrada, supuestos, lógica, validación, cambios, acceso y limitaciones.

Ciclo de vida del control desde los datos hasta la información a revelar

Los controles deberían operar desde la definición y recopilación de los datos hasta su transformación, revisión, redacción de la información a revelar, aprobación por la gobernanza, publicación y subsanación posterior al cierre.

Los controles de la información a revelar deberían proteger tanto las cifras como el significado. Una métrica cuantitativamente correcta aún puede ser engañosa si se omiten el perímetro, el método, la incertidumbre o el cambio comparativo. Una narrativa puede ser técnicamente elegante, pero no estar respaldada por evidencia. Por tanto, el proceso de revisión debería combinar la confirmación del responsable de los datos, la revisión del marco, la revisión de coherencia financiera, la revisión jurídica/de las afirmaciones y la aprobación por la gobernanza.

Las declaraciones de la dirección no sustituyen a otras evidencias, pero pueden cerrar el ciclo de rendición de cuentas. El proceso de declaración debería ser específico del sistema de información y estar firmado por las personas que controlan la información pertinente. Puede incluir la confirmación de que las poblaciones de datos están completas, que se han divulgado los métodos y cambios, que se han comunicado los fraudes o errores conocidos, que se han considerado los hechos posteriores materiales y que no se ha omitido ninguna evidencia material.

Utilice declaraciones en varios niveles: responsable de los datos, unidad de negocio, ejecutivo funcional e información del grupo.

Vincule cada declaración con las responsabilidades identificadas y los controles del periodo de información.

Enumere las excepciones conocidas en lugar de pedir a los responsables que firmen una declaración incondicional poco realista.

Eleve las contradicciones entre las declaraciones y otras evidencias.

Conserve el conjunto final de declaraciones junto con el expediente de publicación y evidencias de aseguramiento.

Un proceso de deficiencias debería distinguir entre una brecha de evidencia aislada, un fallo en el diseño de un control y un riesgo material de información. La gravedad debería considerar la probabilidad y la magnitud de una posible incorrección u omisión, la importancia de la información afectada, la generalización del proceso y si existen controles compensatorios. La terminología utilizada para las deficiencias de los controles financieros puede adaptarse, pero la organización debería definir claramente sus propios umbrales de escalamiento.

El grupo crea primero un diccionario de datos y asigna identificadores de métricas estables. A continuación, clasifica las métricas según el riesgo y selecciona controles clave sobre el perímetro del grupo, los factores, las estimaciones y los cambios metodológicos. Finanzas es responsable del calendario consolidado de informes; sostenibilidad es responsable de los métodos técnicos; operaciones son responsables de los datos de origen; y los revisores son independientes de los preparadores. Las pruebas trimestrales identifican que una región utiliza un denominador de seguridad diferente y que los datos logísticos del Alcance 3 tienen un desfase de tres meses.

En lugar de ocultar las diferencias, el grupo define el denominador aprobado, reformula la información comparativa cuando corresponde, documenta la política sobre el desfase y la incertidumbre, y crea un plan de subsanación para obtener datos de proveedores más oportunos. El informe final está respaldado por conciliaciones y certificaciones de los responsables. El proceso no está «totalmente automatizado», pero está controlado, es repetible y puede ser objeto de aseguramiento.

Un diccionario de datos de sostenibilidad debería asignar a cada campo cuantitativo y narrativo un identificador estable, una definición, una base de información, una unidad, un límite, un periodo, un método, una fuente, un responsable, un revisor, un estado de estimación, controles, una ubicación de la información a revelar y un historial de cambios. Evita que un mismo nombre de métrica tenga significados diferentes y proporciona a los controles un objeto estable que someter a prueba.

Las hojas de cálculo del Alcance 3 deberían gobernarse como modelos: definir su propósito, responsable, entradas, hipótesis, lógica, validación, acceso, cambios de versión y limitaciones. Bloquear la lógica de cálculo, conservar la evidencia de las fuentes y los factores, separar la preparación de la revisión, conciliar los límites y los totales, y documentar las estimaciones y excepciones.

Conciliar los límites, las definiciones, los periodos, las monedas, las hipótesis y las narrativas entre la información sobre sostenibilidad a revelar, los estados financieros, la información de gestión y las comunicaciones externas. Para los GEI y la energía, conciliar también las poblaciones de instalaciones, las facturas, los datos de actividad, los factores de emisión y los totales; conservar las diferencias documentadas, los cambios en los factores y la aprobación de finanzas.

Primero distinguir una brecha de evidencia aislada de un fallo en el diseño del control o de un riesgo material de información; después, evaluar la gravedad utilizando la posible incorrección, la información a revelar afectada, la generalización y los controles compensatorios. Corregir o contener el problema actual, analizar la causa raíz, escalar los asuntos significativos, remediar el proceso o sistema, volver a someter a prueba la eficacia y supervisar la recurrencia.

Un marco de control interno creíble no se mide por el número de controles. Se mide por si el sistema previene o detecta fallos materiales en la información reportada, conserva la evidencia y permite una corrección oportuna. Utilice la disciplina financiera cuando resulte adecuada, añada controles específicos de sostenibilidad cuando no lo sea y organice todo en torno a la información que se pretende que reciban los usuarios de IFRS S1/S2.