Comment préparer un rapport GRI en vue d’une assurance externe

Statut technique : projet de publication fondé sur les sources ; revue technique humaine finale requise avant publication.

Le GRI encourage les organisations à utiliser des contrôles internes et à solliciter une assurance externe afin de renforcer la crédibilité du reporting de durabilité, mais le GRI 1 ne fait pas de l’assurance externe une condition pour publier conformément aux normes. L’information 2-5 exige de l’organisation qu’elle explique sa politique et sa pratique en matière de recours à l’assurance externe et, lorsqu’une assurance a été obtenue, qu’elle fournisse le rapport d’assurance et décrive le périmètre, le fondement, les normes, le niveau, les limitations et la relation avec le prestataire.

La préparation à l’assurance poursuit donc deux objectifs. Elle prépare des informations susceptibles d’être testées par rapport à des critères appropriés et garantit que la description publique de l’assurance est exacte. Le projet devrait renforcer le système de reporting même si la mission finale ne couvre que certaines informations.

Une demande de propositions indiquant « assurer notre rapport GRI » n’est pas suffisamment précise. L’organisation devrait d’abord préparer une note sur le périmètre et les critères. Elle n’a pas besoin de prédéterminer les procédures du professionnel, mais elle devrait définir l’objet envisagé et ce que la direction est disposée à étayer.

GRI 1 recommande un prestataire d’assurance indépendant de l’organisation, dont la compétence en la matière et dans les pratiques d’assurance est démontrable, soumis à un contrôle qualité, systématique, documenté et fondé sur des éléments probants. ISSA 5000 ne dépend pas d’une profession particulière : il peut être appliqué par des experts-comptables et d’autres professionnels de l’assurance qui satisfont aux exigences applicables en matière d’éthique, de gestion de la qualité et de compétence.

Le processus de sélection devrait évaluer l’équipe chargée de la mission, et pas seulement la marque du cabinet. Demandez qui dirigera les travaux, quels spécialistes testeront les informations relatives aux GES, aux questions sociales, aux droits humains ou à la chaîne de valeur, comment les composantes du groupe seront couvertes, quelle revue de la qualité s’applique et comment les menaces pour l’indépendance sont identifiées et traitées.

La cartographie des éléments probants constitue le livrable central de préparation. Elle décompose chaque information à fournir incluse dans le périmètre en critères et relie chaque affirmation publiée aux éléments probants sources, aux fichiers de calcul ou de présentation narrative, aux responsables des contrôles et aux approbations. Elle identifie également quels éléments probants sont publics et lesquels restent soumis à des restrictions.

Figure 1. La préparation de l’assurance nécessite une traçabilité entre l’information à fournir publiée, les critères, le calcul, les éléments probants sources et le contrôle.

Un calcul peut être numériquement correct une fois et rester difficile à soumettre à une mission d’assurance si le processus n’est pas contrôlé. Les tests de préparation devraient examiner comment les données sont initiées, saisies, modifiées, consolidées, revues et approuvées. Les contrôles importants comprennent la gouvernance des données de référence, les droits d’accès, la validation des unités, les interfaces automatisées, la revue des écritures manuelles, les rapprochements d’exhaustivité, le contrôle des versions des facteurs, l’approbation des estimations, l’analyse des écarts, l’évaluation de la nécessité d’un retraitement et la validation finale avant publication.

Pour les informations narratives, les contrôles sont tout aussi importants. L’équipe devrait conserver la politique ou l’engagement en vigueur pendant la période de reporting, les éléments probants de sa mise en œuvre, les résultats utilisés pour étayer les affirmations relatives à son efficacité, les procès-verbaux de gouvernance, les éléments probants relatifs aux parties prenantes, les limitations et les approbations. Un paragraphe soigné sans piste documentaire constitue un risque pour la mission d’assurance.

Sélectionnez un échantillon d’informations à haut risque et suivez-les de bout en bout : de l’événement à l’origine de la donnée au système, à la consolidation, au calcul, à la revue et au texte publié. La vérification détaillée devrait associer le préparateur et le réviseur effectifs. Elle devrait identifier les transmissions manuelles, les jugements non consignés, les remplacements effectués dans les feuilles de calcul, les périmètres incohérents et les éléments probants produits seulement a posteriori.

Le risque lié à la mission d’assurance survient lorsque l’organisation ne peut pas démontrer l’exhaustivité de l’univers des impacts, le rôle des normes sectorielles, les sources utilisées pour identifier les impacts, les critères d’importance, la manière dont les éléments probants fournis par les parties prenantes ont éclairé le jugement, les raisons pour lesquelles les seuils ont été sélectionnés et l’identité des personnes ayant approuvé les thèmes pertinents définitifs. Une matrice dépourvue de la piste d’éléments probants sous-jacente est rarement suffisante.

Les informations 2-1 à 2-5 ne peuvent pas invoquer de motifs d’omission. Les problèmes courants comprennent l’incohérence entre les entités juridiques et le périmètre de durabilité, les écarts inexpliqués par rapport à la consolidation financière, la discordance entre les périodes de reporting, les retraitements non documentés et une formulation relative à l’assurance plus large que le rapport du professionnel. Les informations relatives aux travailleurs et à la gouvernance créent également des difficultés de définition entre les systèmes.

Les descriptions génériques des politiques ne suffisent pas. La cartographie des éléments probants devrait couvrir les impacts réels et potentiels, les politiques ou engagements, les actions, le suivi de l’efficacité, la mobilisation des parties prenantes et la manière dont les enseignements sont intégrés. Les affirmations relatives à l’efficacité nécessitent des éléments probants sur les résultats ou une formulation prudente des limites. Des activités telles que les formations dispensées ou les audits réalisés ne prouvent pas à elles seules que les impacts se sont améliorés.

Les constats courants concernent le périmètre de reporting, les définitions, les unités, la source des facteurs, l’estimation, l’exhaustivité, les changements de méthodologie, le recalcul de l’année de référence, les comparatifs incohérents et l’absence de rapprochement avec les systèmes opérationnels ou financiers. Pour les indicateurs de la chaîne de valeur, le prestataire remettra souvent en question la qualité des données fournisseurs, l’échantillonnage et l’extrapolation.

Une revue à blanc devrait avoir lieu alors qu'il reste encore suffisamment de temps pour modifier le rapport et renforcer les éléments probants. Tester un échantillon représentatif de métriques quantitatives à haut risque, d'informations narratives fournies par la direction, d'estimations, de composantes du groupe et de références web. Les constats devraient être consignés avec leur gravité, l'information à fournir concernée, le critère, la lacune en matière d'éléments probants, le responsable, la date d'échéance et la solution acceptée.

Tout problème ne nécessite pas l'ajout de texte. La mesure corrective appropriée peut consister à améliorer un contrôle, corriger un chiffre, restreindre une affirmation, communiquer une limitation, réviser un périmètre, ajouter un motif d'omission ou supprimer une formulation non étayée. Le responsable du reporting devrait tenir un registre unique des constats afin que le professionnel, les responsables des données, le rédacteur et l'approbateur final travaillent à partir du même état d'avancement.

ISSA 5000 exige des déclarations écrites sur des questions telles que la responsabilité de la direction dans la préparation des informations de durabilité, la fourniture de toutes les informations et de tous les accès pertinents, les anomalies non corrigées, les hypothèses, les déficiences des contrôles, la fraude ou le non-respect des règles et les événements postérieurs, selon le cas. Les déclarations sont datées aussi près que possible, en pratique, du rapport d'assurance.

Le rapport final devrait permettre d'identifier facilement ce qui a fait l'objet de l'assurance, selon quels critères, à quel niveau et pour quelle période. L'information à fournir 2-5 devrait contenir un lien vers le rapport d'assurance et décrire la relation avec le prestataire. La conception du rapport ne devrait pas séparer un badge d'assurance rassurant de la limitation de l'étendue ni laisser entendre que les informations narratives non auditées sont couvertes.

Figure 2. Plan indicatif de préparation à l'assurance sur dix semaines.

L’équipe chargée de la préparation commence par supprimer du projet la formulation ambiguë « assurance sur le rapport de durabilité ». Elle crée un tableau du périmètre au niveau des indicateurs, rapproche les données relatives aux employés du périmètre de consolidation des ressources humaines, documente les méthodes fondées sur le marché et sur la localisation relatives au Scope 2, teste les éléments probants fournis par les prestataires de gestion des déchets et distingue les contributions en espèces des résultats des programmes. Une revue à blanc révèle que deux indicateurs relatifs aux communautés reposaient sur des estimations des équipes de projet sans pièces justificatives conservées. La direction obtient soit les éléments probants, soit retire les indicateurs du périmètre couvert par l’assurance et explique la limitation.

Lors de la publication, le rapport contient un lien vers la conclusion du praticien, identifie les informations sélectionnées et le niveau d’assurance limitée, et précise que le processus de matérialité ainsi que les autres informations narratives à fournir n’étaient pas inclus. Le projet crée également un plan pour l’Année 2 afin d’étendre l’assurance uniquement après la maturité des éléments probants relatifs à GRI 3-3 et des contrôles de la chaîne de valeur.

Après la publication, transformer le registre des constatations en plan de contrôle pour le cycle de reporting suivant. Suivre les problèmes récurrents par information à fournir, cause profonde et responsable ; conserver le dossier final de preuves ; et décider si le périmètre de l’assurance doit s’étendre, rester stable ou se réduire. Un programme d’assurance mature évolue avec la fiabilité du système de reporting, et non avec l’ambition de la conception du rapport.

Le prestataire d’assurance peut effectuer certains travaux de préparation lorsque les exigences applicables en matière d’éthique et d’indépendance le permettent et que ces travaux ne créent pas de menace non maîtrisée d’auto-révision ni d’autre menace. Définir les services et les rôles avant la nomination, évaluer les mesures de sauvegarde et laisser la direction responsable des décisions, des preuves et de la préparation.

Les déclarations de la direction appuient une mission d’assurance, mais ne remplacent pas les preuves sous-jacentes, les contrôles des données ou la remédiation. Elles devraient confirmer la responsabilité de la direction, l’exhaustivité, les méthodes, les hypothèses et les limitations connues, tandis que les lacunes de preuves non résolues restent des constatations susceptibles d’affecter le périmètre ou la conclusion de la mission.