Contrôles internes des informations IFRS relatives au développement durable : un cadre pratique

Un cadre de contrôle interne aligné sur les processus financiers pour produire des informations IFRS S1 et IFRS S2 relatives au développement durable fiables, sans prétendre que les informations financières et les informations relatives au développement durable sont identiques.

Un rapport de durabilité peut sembler complet tout en reposant sur des processus fragiles : feuilles de calcul non contrôlées, définitions ambiguës des indicateurs, données de fournisseurs copiées manuellement, hypothèses qui diffèrent de celles de la planification financière, revue de la direction qui ne laisse aucun élément probant et informations à fournir assemblées à partir de plusieurs versions. Ces faiblesses ne sont pas résolues par l’ajout d’une approbation finale. Le système doit être capable de produire de manière répétée des informations fiables, de détecter les erreurs ou les biais et de conserver les éléments probants relatifs à la manière dont les jugements ont été formulés.

L’analogie opérationnelle la plus proche est la clôture financière — non pas parce que les informations relatives au développement durable sont identiques aux informations comptables, mais parce que la discipline est transposable. Les deux nécessitent un périmètre contrôlé, un calendrier de reporting, une responsabilité sur les données, une date de clôture, une consolidation, des rapprochements, une revue, la gestion des exceptions et une autorisation. Le reporting de durabilité ajoute ses propres risques : données de la chaîne de valeur, estimations, méthodologies scientifiques, facteurs externes, scénarios, informations prospectives et allégations narratives concernant la gouvernance ou l’efficacité.

Cadre de contrôle interne aligné sur les processus financiers

Les cinq composantes de COSO peuvent structurer les contrôles de durabilité, tandis que les disciplines de la clôture de fin d’exercice — périmètre, date de clôture, consolidation, rapprochement, revue et approbation — fournissent une ossature opérationnelle.

La publication de COSO de 2023, Achieving Effective Internal Control over Sustainability Reporting, applique les cinq composantes et les 17 principes de l’Internal Control—Integrated Framework de 2013 aux informations relatives au développement durable. La publication est explicitement dépourvue de caractère faisant autorité et interprétative. Elle est utile comme modèle structurant, mais une entité devrait adapter les objectifs de contrôle, les responsables et les éléments probants à ses risques de reporting, à sa juridiction, à son niveau de maturité et au périmètre de la mission d’assurance.

Les contrôles devraient répondre à un objectif clair de reporting. En l’absence de cet objectif, les équipes produisent souvent de longues listes de contrôle qui démontrent une activité, mais ne traitent pas le risque. Pour IFRS S1/S2, les objectifs de contrôle peuvent être organisés autour des qualités et des exigences applicables aux informations à fournir.

L’environnement de contrôle détermine si les contrôles individuels fonctionneront lorsque la pression s’intensifie. Le reporting de durabilité couvre souvent des fonctions qui ne relèvent pas d’un même responsable. Le conseil d’administration peut superviser le reporting, la fonction finance peut être responsable de la publication, la fonction durabilité peut être responsable de la méthodologie, les opérations peuvent être responsables des données et l’informatique peut être responsable des systèmes. En l’absence d’autorité et de responsabilité explicites, des lacunes subsistent entre les fonctions.

Supervision par le conseil d’administration et les comités : définir quelle instance supervise les informations financières liées à la durabilité, les jugements relatifs à l’importance relative, les déficiences significatives et la déclaration finale de reporting.

Responsabilité des dirigeants : nommer un dirigeant identifié responsable du système de reporting, et pas uniquement du document final.

Politique de reporting : documenter le référentiel, le périmètre, l’entité présentant les informations, la hiérarchie des normes, la terminologie, le processus d’évaluation de l’importance relative, l’utilisation d’estimations, les attentes en matière d’éléments probants et le circuit d’approbation.

Compétence : évaluer si les responsables et les réviseurs disposent des compétences techniques, sectorielles, financières, climatiques, en matière de données et de contrôle requises pour leurs responsabilités.

Intégrité et esprit critique : interdire les déclarations non étayées, les lacunes de données dissimulées et les changements silencieux de méthode ; créer des voies d’escalade qui protègent les réviseurs de la pression des délais.

Responsabilité : inclure la performance des contrôles et les mesures correctives dans les objectifs des fonctions, les certifications de clôture et le reporting de gouvernance.

Un dictionnaire de données est l’équivalent d’un plan comptable pour le reporting. Il empêche qu’un même nom de métrique revête plusieurs significations dans le groupe et fournit aux contrôles un objet stable à tester. Le dictionnaire devrait couvrir les champs quantitatifs et narratifs. Par exemple, « Fréquence de la supervision par le conseil d’administration » est un champ d’information publié contrôlé, tout comme « émissions du Scope 2 fondées sur la localisation » est une métrique contrôlée.

Le dictionnaire de données définit la signification des informations ; le registre des éléments probants indique ce qui étaye le fait publié. Un même élément peut être associé à plusieurs types d’éléments probants : données sources, méthodologie, calcul, revue et approbation par la gouvernance. Le registre devrait être organisé par assertion plutôt que par service ou nom de fichier uniquement.

Une petite équipe ne peut pas toujours séparer chaque tâche, mais elle devrait séparer les décisions les plus lourdes de conséquences. La personne qui crée ou modifie une mesure ne devrait pas être la seule personne à approuver la méthode et le résultat final. Lorsque la séparation complète est impraticable, recourir à une revue compensatoire effectuée par une personne disposant de la compétence et de l’autorité appropriées.

Les rapprochements transforment les « informations connexes », principe de rédaction, en contrôle opérationnel. Ils ne devraient pas se limiter à faire concorder les totaux. L’équipe doit rapprocher les périmètres, définitions, périodes, devises, hypothèses et exposés narratifs dans les informations publiées en matière de durabilité, les états financiers, les rapports de gestion et les communications externes.

De nombreuses informations publiées en matière de durabilité reposent sur des modèles plutôt que sur des mesures directes. Il peut s’agir notamment des émissions du Scope 3, des émissions financées, des scénarios climatiques, de l’exposition des actifs, des émissions évitées, des estimations concernant les effectifs et des effets financiers prévus. La gouvernance des modèles devrait être proportionnée, mais elle devrait couvrir les mêmes questions fondamentales : finalité, propriété, données d’entrée, hypothèses, logique, validation, changements, accès et limites.

Cycle de vie du contrôle, des données aux informations à fournir

Les contrôles devraient s’appliquer de la définition et de la collecte des données jusqu’à leur transformation, leur revue, la rédaction des informations à fournir, l’approbation par la gouvernance, la publication et la remédiation post-publication.

Les contrôles des informations à fournir devraient protéger à la fois les chiffres et leur signification. Un indicateur quantitativement exact peut néanmoins être trompeur si le périmètre, la méthode, l’incertitude ou la variation comparative est omis. Un texte explicatif peut être techniquement élégant, mais non étayé par des éléments probants. Le processus de revue devrait donc combiner la confirmation par le responsable des données, la revue au regard du référentiel, la revue de cohérence financière, la revue juridique et des allégations, ainsi que l’approbation par la gouvernance.

Les déclarations de la direction ne remplacent pas les autres éléments probants, mais elles peuvent clore la boucle de responsabilisation. Le processus de déclaration devrait être propre au système de reporting et signé par les personnes qui contrôlent les informations pertinentes. Il peut inclure la confirmation que les populations de données sont complètes, que les méthodes et les changements ont été communiqués, que les fraudes ou erreurs connues ont été signalées, que les événements postérieurs significatifs ont été pris en compte et qu'aucun élément probant significatif n'a été retenu.

Utilisez les déclarations à plusieurs niveaux : responsable des données, unité opérationnelle, dirigeant fonctionnel et reporting du groupe.

Rattachez chaque déclaration aux responsabilités identifiées et aux contrôles de la période de reporting.

Énumérez les exceptions connues plutôt que de demander aux responsables de signer une déclaration inconditionnelle irréaliste.

Faites remonter les contradictions entre les déclarations et les autres éléments probants.

Conservez l'ensemble final des déclarations avec le dossier de publication et de preuves d'assurance.

Un processus relatif aux déficiences devrait distinguer une lacune isolée dans les éléments probants d'une défaillance dans la conception d'un contrôle ou d'un risque significatif lié au reporting. La gravité devrait tenir compte de la probabilité et de l'ampleur d'une éventuelle inexactitude ou omission, de l'importance de l'information à fournir concernée, du caractère généralisé du processus et de l'existence éventuelle de contrôles compensatoires. La terminologie utilisée pour les déficiences des contrôles financiers peut être adaptée, mais l'organisation devrait définir clairement ses propres seuils de remontée.

Le groupe crée d’abord un dictionnaire de données et attribue des identifiants stables aux indicateurs. Il classe ensuite les indicateurs par niveau de risque et sélectionne des contrôles clés portant sur le périmètre du groupe, les facteurs, les estimations et les changements de méthodologie. La fonction financière est responsable du calendrier de reporting consolidé ; la fonction durabilité est responsable des méthodes techniques ; les activités sont responsables des données sources ; et les examinateurs sont distincts des préparateurs. Des exercices trimestriels à blanc montrent qu’une région utilise un dénominateur de sécurité différent et que les données logistiques du Scope 3 accusent un retard de trois mois.

Plutôt que de dissimuler ces différences, le groupe définit le dénominateur approuvé, retraite les données comparatives lorsque cela est approprié, documente la politique relative au retard et à l’incertitude, et crée un plan de remédiation pour obtenir plus rapidement les données des fournisseurs. Le rapport final est étayé par des rapprochements et des attestations des responsables. Le processus n’est pas « entièrement automatisé », mais il est contrôlé, reproductible et susceptible de faire l’objet d’une mission d’assurance.

Un dictionnaire de données de durabilité devrait attribuer à chaque champ quantitatif et narratif un identifiant stable, une définition, une base de reporting, une unité, un périmètre, une période, une méthode, une source, un responsable, un réviseur, un statut d’estimation, des contrôles, un emplacement dans les informations à fournir et un historique des modifications. Il empêche qu’un même nom de mesure recouvre des significations différentes et fournit aux contrôles un objet stable à tester.

Les feuilles de calcul du Scope 3 devraient être gérées comme des modèles : définir leur finalité, leur responsable, leurs données d’entrée, leurs hypothèses, leur logique, leur validation, leurs accès, les modifications de version et leurs limites. Verrouiller la logique de calcul, conserver les éléments probants relatifs aux sources et aux facteurs, séparer la préparation de la revue, rapprocher les périmètres et les totaux, et documenter les estimations et les exceptions.

Rapprocher les périmètres, définitions, périodes, devises, hypothèses et narratifs dans les informations de durabilité à fournir, les états financiers, le reporting de gestion et les communications externes. Pour les GES et l’énergie, rapprocher également les populations d’installations, les factures, les données d’activité, les facteurs d’émission et les totaux ; conserver les différences documentées, les modifications de facteurs et la validation par la fonction financière.

Commencer par distinguer une lacune isolée dans les éléments probants d’une défaillance dans la conception du contrôle ou d’un risque significatif de reporting, puis évaluer la gravité au regard de l’inexactitude potentielle, de l’information à fournir concernée, du caractère généralisé et des contrôles compensatoires. Corriger ou contenir le problème actuel, analyser la cause profonde, faire remonter les sujets importants, corriger le processus ou le système, tester à nouveau l’efficacité et surveiller la récurrence.

La crédibilité d’un cadre de contrôle interne ne se mesure pas au nombre de contrôles. Elle se mesure à la capacité du système à prévenir ou à détecter les défaillances significatives de l’information publiée, à préserver les éléments probants et à permettre une correction en temps utile. Appliquez la rigueur financière là où elle est pertinente, ajoutez des contrôles propres à la durabilité là où elle ne l’est pas, et structurez l’ensemble autour des informations que les utilisateurs d’IFRS S1/S2 sont censés recevoir.