Controles internos para el MRV de los EAU: completitud de las fuentes, conciliaciones, factores, estimaciones, aprobaciones, pistas de auditoría, ciberseguridad y auditoría interna

La ley establece el marco de resultados y rendición de cuentas: las fuentes designadas miden las emisiones periódicamente, preparan un inventario, presentan informes en los formularios requeridos, reducen las emisiones, conservan los registros y respaldan la verificación por parte de la autoridad. No proporciona un manual de controles corporativos línea por línea. Por tanto, la dirección necesita traducir la obligación en objetivos de control que puedan someterse a prueba.

• Registro de entidades/instalaciones con el libro mayor, la lista de cuentas de servicios públicos y el registro de equipos.

• Totales de proveedores de combustible con las cuentas por pagar y los movimientos de inventario.

• Facturas de electricidad con las lecturas de medidores, las fechas de apertura/cierre de los sitios y los estados de cuenta de los arrendadores.

• Compras de refrigerantes y registros de servicio con la carga y recuperación de refrigerante de los equipos.

• Subtotales de datos de actividad con los rangos de entrada del libro de trabajo de cálculo.

• Identificadores y versiones de los factores en el libro de trabajo con el registro de factores aprobado.

• Emisiones finales por fuente y gas con el formulario de presentación y la declaración del verificador.

• Totales de períodos anteriores con el registro de reexpresiones o cambios metodológicos.

Los factores son datos maestros, no texto copiado en una celda de fórmula. Cada factor necesita un identificador estable, editor, edición, geografía, tecnología, unidad del numerador/denominador, base del poder calorífico, fuente del GWP y período de vigencia. Los cambios deberían activar una evaluación de impacto y una decisión aprobada sobre el recálculo de los comparativos.

Las estimaciones deberían tener un motivo, período de cobertura, fuente proxy, fórmula, incertidumbre o sensibilidad, revisor y fecha de subsanación. Las celdas de fórmula deberían estar protegidas, probarse con casos conocidos y recalcularse de forma independiente para las fuentes materiales.

• El responsable de los datos confirma la integridad de la fuente y explica las anomalías.

• El responsable de la metodología aprueba la jerarquía de factores, las fórmulas y las desviaciones.

• El revisor financiero u operativo realiza las conciliaciones.

• El revisor de sostenibilidad consolida y cuestiona la clasificación y las estimaciones.

• El revisor jurídico controla las declaraciones, la redacción relativa a la autoridad y la información protegida.

• La dirección aprueba la representación final y el paquete de presentación.

• El administrador del sistema gestiona el acceso, pero no aprueba el resultado de emisiones.

Mostrar la trazabilidad de los datos y las salvaguardas cibernéticas transversales.

Los controles cibernéticos no se establecen como una lista de verificación detallada en el Decreto Federal con Rango de Ley N.º 11. Son salvaguardas de implementación para la integridad y disponibilidad de la evidencia que la ley exige que las empresas conserven y proporcionen. El diseño de los controles debería reflejar el perfil de riesgo de la empresa y los requisitos aplicables de ciberseguridad/privacidad de los EAU.

La auditoría interna puede evaluar si el marco de controles está diseñado adecuadamente y funciona durante el periodo sobre el que se informa. Puede probar muestras, observar conciliaciones, inspeccionar registros de acceso y hacer seguimiento de la corrección. No debería preparar los datos que audita posteriormente, formular la declaración legal de la dirección ni presentar su trabajo como la verificación de la autoridad.

«Cada flujo de datos material se concilia con una población operativa o financiera independiente. Los factores de emisión se seleccionan de un registro aprobado y sujeto a control de versiones. Las estimaciones y los cambios en las fórmulas requieren una revisión documentada. El paquete final se bloquea después de la aprobación técnica, jurídica y de la dirección, y la versión presentada y el acuse de recibo se conservan con el expediente de evidencias de cinco años.»

• Existen descripciones de controles, pero no se asigna ningún responsable ni evidencia.

• Finanzas y sostenibilidad utilizan listas de centros distintas.

• Las URL de los factores se almacenan sin las ediciones descargadas.

• Las fórmulas se revisan visualmente en lugar de recalcularse.

• Las estimaciones se sobrescriben cuando llegan datos reales, con lo que se pierde el rastro original.

• El acceso de administrador se comparte.

• El verificador recibe una versión distinta de la que recibe la dirección.

• La auditoría interna comprueba únicamente el total final, no la trazabilidad desde la fuente hasta la presentación.

• Se da por supuesto que la copia de respaldo es correcta sin realizar una prueba de restauración.

• Se realiza una corrección tardía sin evaluar el informe presentado ni la notificación a la autoridad.

Realice conciliaciones entre fuentes y poblaciones de datos: entidades, instalaciones, cuentas y equipos con los datos maestros; combustible con las facturas, el libro mayor y las existencias; electricidad y refrigeración con los medidores y las cuentas; refrigerantes con los equipos y el movimiento de gases; y factores con el registro aprobado. Concilie los totales finales con el libro de trabajo aprobado, el formulario de presentación y el acuse de recibo, y los períodos anteriores con el registro de reexpresiones o de cambios metodológicos.

El registro de auditoría debería identificar al preparador, al revisor, el cambio, la evidencia y la versión final aprobada para cada flujo de datos material. Conserve identificadores estables de las fuentes y los factores, datos de entrada y fórmulas de cálculo, estimaciones, aprobaciones, la presentación bloqueada, el acuse de recibo, el historial de correcciones y los registros de acceso.

Utilice acceso basado en roles y el principio de mínimo privilegio, autenticación multifactor, registros inmutables de cambios y aprobaciones, cifrado y transferencia segura, copias de seguridad y recuperación probadas, respuesta a incidentes y preservación legal. Estas son salvaguardas de implementación para la integridad y disponibilidad de la evidencia conservada, no controles detallados prescritos por el Decreto Ley.