Gouvernance des données et contrôles internes ESRS : des responsables des points de données aux éléments probants d’assurance

Préparé en anglais britannique sous la forme d’un Knowledge Card Package destiné aux praticiens : réponse, explication, application, éléments probants, connexions et couche de publication.

Le reporting ESRS combine des informations présentant des caractéristiques très différentes : indicateurs consolidés, estimations, données des sites, informations relatives à la chaîne de valeur, politiques, objectifs, plans prospectifs, jugements qualitatifs et affirmations narratives. Ces éléments peuvent provenir de systèmes financiers, de plateformes RH, de journaux environnementaux, d’outils d’approvisionnement, de registres juridiques, d’enquêtes, de modèles de consultants et de fichiers gérés manuellement. Une même déclaration de durabilité peut donc dépendre de centaines de contributeurs et de transformations qui sont invisibles dans le rapport publié.

Le risque lié au reporting ne se limite pas à un chiffre incorrect. Une anomalie significative peut également découler :

• d’une information à publier omise ou d’une entité manquante ;

• d’un périmètre, d’une période, d’une unité ou d’une définition erronés ;

• d’une affirmation non étayée concernant la mise en œuvre ou l’efficacité d’une politique ;

• d’un modèle modifié qui n’a pas été approuvé ;

• d’une estimation présentée sans ses hypothèses ni ses limites ;

• d’un objectif qui ne se rapproche pas de sa référence de base ;

• d’un ajustement tardif qui contourne la revue ;

• d’une version du rapport qui ne correspond plus au dossier contrôlé d’éléments probants.

L’objectif n’est pas de créer des contrôles de type financier pour eux-mêmes. Il s’agit de construire une chaîne d’information qui permette à la direction, au conseil d’administration et au prestataire d’assurance de comprendre d’où proviennent les informations, pourquoi elles sont appropriées, comment elles ont été examinées et quelles limites subsistent.

Les ESRS actuelles de 2023 exigent que l’entreprise publie les principales caractéristiques de son système de gestion des risques et de contrôle interne en ce qui concerne le processus de reporting de durabilité. L’information à publier comprend le périmètre et les principales composantes du système, l’approche d’évaluation et de hiérarchisation des risques, les principaux risques et stratégies d’atténuation, l’intégration des conclusions dans les fonctions internes et le reporting périodique aux organes d’administration, de direction et de surveillance.

Les ESRS adoptées en 2026 simplifient l’information à publier principale en la limitant au périmètre, aux principales caractéristiques et aux composantes des processus et systèmes de gestion des risques et de contrôle interne. L’exigence d’application correspondante indique que l’entreprise doit considérer l’exhaustivité et l’intégrité des données ainsi que l’exactitude des résultats d’estimation comme des aspects pertinents de la gestion des risques liés au reporting.

Les ESRS ne prescrivent pas un cadre de contrôle unique, un produit logiciel unique, un modèle unique des trois lignes, une structure unique de dossier d’éléments probants ni une fréquence obligatoire unique pour chaque contrôle. L’organisation doit concevoir des contrôles proportionnés à ses risques liés au reporting, à sa structure et à la maturité de ses données. Elle peut aligner le système sur les processus existants de reporting financier, de gestion des risques d’entreprise, de conformité ou d’audit interne, mais la conception doit traiter les risques distinctifs des informations de durabilité.

Un modèle fiable sépare la préparation, la responsabilité, la revue et l’approbation, tout en évitant un nombre ingérable de transferts.

Dans une entreprise de plus petite taille, une même personne peut exercer plusieurs rôles opérationnels. Toutefois, des informations importantes ne devraient pas être préparées et finalement approuvées par la même personne sans revue supplémentaire.

Trois niveaux de contrôle liés

1. Les contrôles au niveau de l’entité régissent le périmètre, les responsabilités, la politique de reporting, l’évaluation des risques, l’éthique, l’escalade et la supervision par le conseil d’administration.

2. Les contrôles au niveau des processus régissent la collecte des données, la consolidation, les calculs, les estimations, les textes narratifs, la clôture et l’assemblage du rapport.

3. Les contrôles au niveau des informations à publier vérifient un indicateur ou une déclaration donné au regard de ses spécifications, de ses éléments probants et des exigences de présentation des ESRS.

Un système mature relie les trois niveaux. Un indicateur parfaitement recalculé peut néanmoins être trompeur si le périmètre de l’entité est erroné. Une politique de groupe bien conçue peut néanmoins échouer si un site téléverse un classeur non contrôlé.

La matrice des informations à fournir constitue la couche d’organisation entre l’importance relative et la collecte des données. Elle devrait consigner, pour chaque IRO significatif et chaque information à fournir applicable :

• la norme ESRS, le DR, le paragraphe ou le datapoint ;

• le thème important et le lien avec l’IRO ;

• le périmètre et la période de reporting ;

• le responsable de l’information à fournir et le contributeur ;

• le statut quantitatif ou narratif ;

• l’identifiant du dictionnaire de données ou de la spécification narrative ;

• le système source ou la catégorie de preuve ;

• l’identifiant du calcul ou de la méthodologie ;

• l’identifiant du contrôle et la fréquence de revue ;

• la section du rapport et le renvoi croisé ;

• le statut de l’assurance et les constatations ouvertes ;

• la version actuelle et la date de la dernière modification.

Une liste de datapoints ESRS ne constitue pas encore une matrice de contrôle. L’organisation doit déterminer quelles informations sont importantes, comment elles s’appliquent à ses faits et quelles preuves étayent une présentation fidèle.

Un dictionnaire de données empêche différents sites, fonctions et périodes d’utiliser le même libellé pour des informations différentes. Chaque fiche d’indicateur contrôlé devrait contenir au moins :

Le dictionnaire devrait être approuvé avant la demande finale de données. Modifier les définitions pendant la clôture crée des données comparatives incohérentes et un biais de la direction non documenté.

Un registre des éléments probants indique où les éléments justificatifs sont conservés et comment ils se rapportent à une information à fournir. Il n’est pas nécessaire de copier chaque document source dans un même dossier, mais le lien doit être durable et accessible aux réviseurs autorisés.

Les champs recommandés comprennent :

• l’identifiant, le titre et la description de l’élément probant ;

• l’indicateur, l’affirmation narrative, la cible ou le jugement associé ;

• le responsable et le dépositaire de la source ;

• le système ou le référentiel d’origine ;

• la période de reporting et la date d’extraction ;

• la version, l’empreinte du fichier ou l’identifiant immuable, le cas échéant ;

• la classification d’accès : public, interne, restreint, privilégié ou données personnelles ;

• la durée de conservation ;

• la revue effectuée et le réviseur ;

• les limites ou les éléments justificatifs manquants ;

• le lien vers le problème et le dossier de remédiation ;

• la version du rapport final étayée.

Hiérarchie de la qualité des éléments probants

Les éléments probants sont plus solides lorsqu’ils sont contemporains, complets, générés indépendamment ou contrôlés par le système, directement liés à la période publiée et susceptibles de faire l’objet d’une réexécution. Une explication de la direction peut être nécessaire, mais elle ne devrait pas remplacer les documents sources lorsque ceux-ci devraient exister.

Pour les informations narratives, les éléments probants peuvent comprendre des politiques approuvées, des procès-verbaux du conseil d’administration, des dossiers de programmes, des contrats, des journaux de dialogue avec les parties prenantes, des données relatives aux réclamations, des relevés de présence aux formations, des budgets, des tableaux de suivi des actions et des analyses des résultats. Une politique prouve que le texte a été approuvé ; elle ne prouve pas à elle seule sa mise en œuvre ou son efficacité.

Les indicateurs de durabilité nécessitent fréquemment des transformations plus complexes que ne le laisse penser le chiffre final. Un inventaire des calculs devrait identifier chaque classeur, script, modèle et calcul externe utilisé dans le reporting.

Les contrôles minimaux comprennent :

1. Approbation de la formule. Le responsable de la méthodologie confirme la formule, les facteurs, les unités et le périmètre.

2. Rapprochement de la source aux données d’entrée. Les données d’entrée sont rapprochées des totaux du système source ou des extractions documentées.

3. Recalcul automatisé ou indépendant. Un réviseur reproduit les calculs significatifs ou teste l’intégrité des formules.

4. Gouvernance des facteurs. Les facteurs d’émission, les taux de conversion et les tables de classification comportent une source, une version et une période d’application.

5. Validation des estimations. Les hypothèses sont raisonnables et étayées, l’incertitude est évaluée et les résultats réels sont comparés aux estimations antérieures lorsque cela est possible.

6. Contrôle des modifications. Les modifications apportées au modèle nécessitent un motif documenté, une évaluation de l’incidence, une approbation et une revue comparative.

7. Protection. Les cellules verrouillées, les référentiels de code, les autorisations d’accès et les fichiers maîtres contrôlés réduisent les modifications accidentelles ou non autorisées.

8. Rapprochement des résultats. Les tableaux finaux et les valeurs narratives sont rapprochés des résultats de calcul approuvés et de la version du rapport.

Un tableur peut être contrôlé si la responsabilité, la gestion des versions, l’accès, la revue des formules et les éléments probants sont rigoureux. Une plateforme sophistiquée peut être non contrôlée si les définitions ou les approbations sont faibles.

Les éléments probants requis pour les ESRS peuvent inclure des informations personnelles, des réclamations, des dossiers de travailleurs, des constatations concernant les fournisseurs, des conseils juridiques et des hypothèses commercialement sensibles. Un accès étendu ne constitue pas une transparence des éléments probants.

Un modèle d’accès pratique devrait :

• appliquer des autorisations selon le principe du moindre privilège ;

• séparer les droits du préparateur, du réviseur et de l’administrateur lorsque cela est proportionné ;

• restreindre l’accès aux données personnelles et aux réclamations et fournir des extractions de reporting désidentifiées ;

• identifier les documents couverts par le secret professionnel ou liés à une enquête ;

• empêcher la suppression ou l’écrasement silencieux après approbation ;

• conserver les journaux d’accès pour les référentiels à haut risque ;

• utiliser des méthodes de transfert contrôlées pour les filiales et les prestataires externes ;

• définir ce que le prestataire d’assurance peut examiner et la manière dont les éléments probants restreints seront traités ;

• révoquer l’accès après une modification de rôle ou l’achèvement du projet.

Le rapport public devrait être traçable jusqu’aux éléments probants sans divulguer de détails confidentiels qui ne sont pas nécessaires à la déclaration.

Un réviseur devrait faire davantage que confirmer qu’un champ est renseigné. La revue devrait porter sur l’assertion pertinente pour l’information.

Un modèle d’approbation par étapes comprend couramment :

• la certification du préparateur ;

• l’approbation du responsable du point de données ;

• la revue par le responsable du contrôle ;

• la revue technique des ESRS ;

• la revue fonctionnelle ou juridique des informations narratives sensibles ;

• l’approbation de la direction au niveau du thème ;

• la certification du reporting du groupe ;

• l’approbation finale de la direction et du conseil d’administration.

Les approbations devraient identifier les données exactes et la version du rapport approuvées. Un courriel générique indiquant « tout semble correct » constitue un élément probant faible.

Chaque élément d’information contrôlé nécessite une règle concernant les changements intervenant après la soumission initiale. Le journal des changements devrait consigner :

• l’élément et la version modifiés ;

• la date et la personne ayant effectué le changement ;

• le motif : nouvelles données sources, correction d’une erreur, changement de méthodologie, changement de périmètre ou modification de la présentation ;

• l’incidence quantitative et qualitative ;

• l’effet sur les informations comparatives, les cibles, les effets financiers et les informations connexes ;

• la réexécution requise des contrôles ;

• les approbations obtenues ;

• la question de savoir si le prestataire d’assurance et le conseil d’administration ont été informés ;

• la version finale du rapport concernée.

Les changements tardifs devraient suivre un seuil défini et une voie d’escalade. L’objectif n’est pas d’interdire les corrections, mais de garantir qu’une correction ne crée pas de nouvelles incohérences ailleurs dans la déclaration.

Les déclarations de la direction contribuent à la responsabilisation ; elles ne remplacent ni les éléments probants ni les contrôles. Les lignes directrices non contraignantes de la CEAOB relatives à l’assurance limitée indiquent que les professionnels devraient demander une lettre de déclaration signée par au moins un membre responsable de la haute direction ou par les personnes constituant la gouvernance, y compris une confirmation de la responsabilité à l’égard des déclarations de durabilité.

Un processus interne de déclaration peut demander aux dirigeants responsables de confirmer que, à leur connaissance :

• les informations relevant de leur domaine sont complètes et préparées selon les définitions approuvées ;

• les estimations, jugements et limites significatifs ont été communiqués ;

• les erreurs connues, préoccupations relatives à la fraude et cas de non-conformité pertinents pour la déclaration ont été signalés ;

• les événements postérieurs et changements significatifs ont été communiqués ;

• les politiques, actions et cibles sont décrites avec exactitude ;

• les éléments probants ont été conservés et sont disponibles ;

• les problèmes non résolus sont énumérés plutôt que dissimulés.

La lettre de déclaration constitue le dernier niveau de responsabilité, et non un remède à l’absence de documentation source.

Les constatations devraient être gérées dans un journal des problèmes contrôlé unique, qu’elles résultent d’une revue de la direction, de l’audit interne, de l’assurance, des retours du régulateur ou d’une correction postérieure à la publication.

Un flux de travail utile est le suivant :

1. Consigner le problème avec l’information publiée concernée, la source, le contrôle et la version du rapport.

2. Classer le problème : données, périmètre, méthode, éléments probants, exécution du contrôle, narration, présentation ou gouvernance.

3. Évaluer la gravité en fonction de l’anomalie potentielle, de l’étendue, du risque réglementaire et du délai avant publication.

4. Contenir le risque immédiat, par exemple en suspendant un chiffre ou en limitant une allégation non étayée.

5. Corriger les informations de la période en cours et réexécuter les contrôles concernés.

6. Analyser la cause racine : défaillance de conception, défaillance d’exécution, capacité, système, définition ou supervision.

7. Remédier au problème en précisant le responsable, l’échéance, le financement et les éléments probants attestant de la réussite.

8. Valider la clôture de manière indépendante et mettre à jour la matrice des contrôles, le dictionnaire ou la méthodologie.

9. Signaler les problèmes significatifs ou en retard à la direction et au conseil d’administration.

Clore une demande d’assurance n’est pas la même chose que remédier au processus sous-jacent. Une clôture durable modifie le système à l’origine de la constatation.

La matrice ci-dessous est donnée à titre illustratif. La fréquence des contrôles et les éléments probants devraient être adaptés au risque, au calendrier de reporting et à la maturité du système.

Figure 2. Exemple de matrice des contrôles ESRS reliant les risques, les contrôles, les responsables et les éléments probants. Visuel pédagogique de marque par London Reporting Academy.

Comment utiliser la matrice

Chaque contrôle devrait faire l’objet d’un enregistrement de conception distinct précisant l’objectif, la population, la procédure, les éléments probants, la compétence du réviseur, les critères d’échec et l’escalade. Le tableau du rapport peut décrire le système dans son ensemble ; la matrice détaillée demeure un élément probant interne.

Profil. Un fabricant diversifié estime les émissions liées aux biens achetés à partir des dépenses d’approvisionnement et de facteurs d’émission sectoriels, car les données d’activité propres aux fournisseurs sont incomplètes.

Risque initial. L’extraction des données d’approvisionnement exclut deux entités nouvellement acquises, les devises sont converties selon des taux différents, les versions des facteurs ne sont pas documentées et un consultant transmet uniquement le chiffre final.

Conception du contrôle. Le groupe :

1. rapproche la liste des entités avec la consolidation financière ;

2. extrait les dépenses d’approvisionnement au moyen d’une requête contrôlée et rapproche les totaux avec les données financières ;

3. applique une convention approuvée unique de conversion des devises ;

4. documente la source, la version, la classification et la période d’effet du facteur ;

5. conserve le modèle et exige un niveau de détail suffisant pour permettre une nouvelle exécution ;

6. effectue une analyse de sensibilité et identifie les principaux facteurs d’incertitude ;

7. compare le résultat avec celui de l’année précédente et avec les changements de l’activité de l’entreprise ;

8. obtient l’approbation de la méthodologie et du responsable du point de données ;

9. présente la méthode d’estimation et les limites de manière proportionnée ;

10. consigne un plan visant à accroître la couverture des données propres aux fournisseurs.

Éléments probants pour l’assurance. Le dossier d’éléments probants contient le rapprochement avec la consolidation, l’extraction des données d’approvisionnement, le tableau de correspondance, la bibliothèque de facteurs, le modèle, l’analyse de sensibilité, le relevé de revue et le renvoi aux informations à fournir.

Limite. Il s’agit d’une conception illustrative de contrôle. La méthodologie GHG appropriée, le périmètre de la catégorie et les informations à fournir dépendent des faits propres à l’entité déclarante et des exigences ESRS applicables.

1. Attribuer un seul « ESRS owner » à des centaines de points de données. Attribuez des responsables redevables au niveau de l’exigence d’information ou de l’indicateur, et identifiez les contributeurs et les réviseurs.

2. Constituer le registre des preuves après la rédaction. Définissez les exigences en matière de preuves dans le dictionnaire et la matrice des informations à fournir avant la collecte des données.

3. Traiter les informations narratives comme un texte non contrôlé. Utilisez un registre des assertions et une revue des preuves pour les politiques, les actions, les objectifs, les progrès et l’efficacité.

4. Utiliser la même revue pour chaque indicateur. Concevez les contrôles en fonction de l’assertion et du risque réels : exhaustivité, périmètre, séparation des périodes, estimation ou présentation.

5. Autoriser les feuilles de calcul locales à remplacer les définitions du groupe. Verrouillez les spécifications maîtresses et exigez que les exceptions soient documentées.

6. Conserver les modèles uniquement dans les systèmes des prestataires externes. Prévoyez contractuellement des données, une méthodologie et des résultats suffisants pour permettre la prise en charge par la direction et la reproduction des calculs.

7. Utiliser les déclarations de la direction pour pallier l’absence de preuves. Les déclarations complètent les dossiers et les contrôles, mais ne les remplacent pas.

8. Clore les constatations sans remédier aux causes profondes. Mettez à jour le processus, le responsable, le système ou la conception du contrôle, et validez l’efficacité.

9. Ne pas contrôler le fichier Word, de conception ou de balisage final. Rapprochez la version publiée des données approuvées et archivez l’ensemble final exact.

10. Surdimensionner le dispositif pour les points de données à faible risque tout en négligeant les estimations et les périmètres à haut risque. Utilisez une évaluation documentée des risques pour hiérarchiser les efforts.

• ESRS 2 GOV-5 en vigueur : gestion des risques et contrôles internes relatifs à la publication d’informations en matière de durabilité.

• ESRS 2 GOV-4 et AR 10 révisés adoptés : périmètre, principales caractéristiques et composantes du système de contrôle ; prise en compte de l’exhaustivité et de l’intégrité des données ainsi que de l’exactitude des estimations.

• ESRS 1 : présentation fidèle, caractéristiques qualitatives, informations importantes, estimations, informations relatives à la chaîne de valeur et préparation de la déclaration de durabilité.

• GDR-M et GDR-T : méthodologie et informations contextuelles relatives aux indicateurs et aux objectifs.

• EFRAG IG 3 : inventaire non contraignant des points de données pour les ESRS 2023 ; utile pour l’architecture, mais ne se substituant pas à la matérialité ou à la conception des contrôles.

• Lignes directrices de la CEAOB relatives aux missions d’assurance limitée : procédures fondées sur les risques, éléments probants suffisants et appropriés, recalcul, réexécution, informations relatives à la chaîne de valeur et lettres de représentation, sous réserve des positions nationales.

• ISSA 5000 : norme internationale complète relative aux missions d’assurance en matière de durabilité lorsqu’elle est adoptée ou autrement applicable.

Les ESRS exigent-ils un cadre formel de contrôle interne ?

Les ESRS exigent la publication d’informations sur le système de gestion des risques et de contrôle interne relatif à la publication d’informations, mais ne prescrivent pas un cadre particulier nommé. L’organisation devrait utiliser un système proportionné et documenté qui traite ses risques importants liés à la publication d’informations.

Un registre des éléments probants est-il obligatoire ?

Les normes ne prescrivent pas un outil appelé registre des éléments probants. Il s’agit d’un moyen pratique de démontrer la traçabilité, l’attribution des responsabilités, l’accès et la revue, et il est particulièrement utile pour la préparation à l’assurance.

L’équipe chargée de la durabilité peut-elle être responsable de tous les contrôles ?

L’équipe centrale peut être responsable du cadre de publication d’informations, mais la responsabilité des informations sources devrait normalement incomber au responsable compétent de l’activité, des finances, des ressources humaines, des achats, des affaires juridiques ou des opérations. La revue indépendante devrait être proportionnée au risque.

Les prestataires de missions d’assurance limitée testent-ils chaque contrôle ?

Non. Les travaux d’assurance sont fondés sur les risques. Le professionnel conçoit des procédures visant à obtenir des éléments probants suffisants et appropriés pour étayer la conclusion et peut recourir à l’inspection, à l’observation, à la confirmation, au recalcul, à la réexécution, à des analyses ou à des demandes d’informations. La direction ne devrait pas partir du principe que chaque contrôle ou point de données sera testé.

Comment les affirmations narratives devraient-elles être contrôlées ?

Créer un registre des affirmations reliant chaque déclaration importante aux éléments probants, au responsable, à la revue et à la version du rapport. Distinguer l’existence d’une politique, l’activité de mise en œuvre, les réalisations, les résultats et l’efficacité.