Contrôles internes pour le MRV aux Émirats arabes unis : exhaustivité des sources, rapprochements, facteurs, estimations, approbations, pistes d’audit, cybersécurité et audit interne

La loi établit le cadre des résultats attendus et de la responsabilité : les sources désignées mesurent régulièrement leurs émissions, préparent un inventaire, déclarent au moyen des formulaires requis, réduisent leurs émissions, conservent les données et facilitent la vérification par l’autorité. Elle ne fournit pas un manuel détaillé de contrôle interne. La direction doit donc traduire l’obligation en objectifs de contrôle pouvant être testés.

• Registre des entités et installations avec le grand livre, la liste des comptes de services publics et le registre des équipements.

• Totaux des fournisseurs de carburant avec les comptes fournisseurs et les mouvements de stocks.

• Factures d’électricité avec les relevés de compteurs, les dates d’ouverture et de fermeture des sites et les relevés des bailleurs.

• Achats de fluides frigorigènes et journaux d’entretien avec la charge et la récupération des équipements.

• Sous-totaux des données d’activité avec les plages d’entrée du classeur de calcul.

• Identifiants et versions des facteurs du classeur avec le registre approuvé des facteurs.

• Émissions finales par source et par gaz avec le formulaire soumis et la déclaration du vérificateur.

• Totaux des périodes antérieures avec le registre des retraitements ou des changements de méthodologie.

Les facteurs constituent des données de référence, et non du texte copié dans une cellule de formule. Chaque facteur doit avoir un identifiant stable, un éditeur, une édition, une zone géographique, une technologie, une unité de numérateur et de dénominateur, une base de pouvoir calorifique, une source de PRG et une période d’effet. Toute modification devrait déclencher une évaluation de son incidence et une décision approuvée quant au recalcul des données comparatives.

Chaque estimation devrait préciser son motif, la période couverte, la source de substitution, la formule, l’incertitude ou la sensibilité, le réviseur et la date de correction. Les cellules de formule devraient être protégées, testées sur des cas connus et recalculées indépendamment pour les sources significatives.

• Le propriétaire des données confirme l’exhaustivité des sources et explique les anomalies.

• Le responsable de la méthode approuve la hiérarchie des facteurs, les formules et les dérogations.

• Le réviseur financier ou opérationnel effectue les rapprochements.

• Le réviseur développement durable consolide les données et remet en question le classement et les estimations.

• Le réviseur juridique contrôle les allégations, la formulation destinée à l’autorité et les informations protégées.

• La direction approuve la déclaration finale et le dossier de soumission.

• L’administrateur système gère les accès, mais n’approuve pas le résultat des émissions.

Présentez la traçabilité des données et les mesures transversales de cybersécurité.

Le décret-loi fédéral nº 11 ne présente pas les contrôles cyber comme une liste détaillée. Il s’agit de mesures de mise en œuvre destinées à préserver l’intégrité et la disponibilité des preuves que la loi oblige les entreprises à conserver et à fournir. La conception des contrôles devrait tenir compte du profil de risque de l’entreprise et des exigences applicables aux Émirats arabes unis en matière de cybersécurité et de protection des données.

L’audit interne peut évaluer si le cadre de contrôle est conçu de manière appropriée et s’il a fonctionné pendant la période de déclaration. Il peut tester des échantillons, observer les rapprochements, examiner les journaux d’accès et suivre les mesures correctives. Il ne devrait pas préparer les données qu’il auditera ensuite, formuler la déclaration juridique de la direction, ni présenter ses travaux comme la vérification de l’autorité.

« Chaque flux de données significatif est rapproché d’une population opérationnelle ou financière indépendante. Les facteurs d’émission sont sélectionnés dans un registre approuvé et soumis à un contrôle des versions. Les estimations et les modifications de formules nécessitent une revue documentée. Le dossier final est verrouillé après approbation technique, juridique et managériale, et la version soumise ainsi que le reçu sont conservés avec le dossier de preuves couvrant cinq ans. »

• Des descriptions de contrôle existent, mais aucun responsable ni aucune preuve n’est attribué.

• Les équipes finance et développement durable utilisent des listes de sites différentes.

• Les URL des facteurs sont conservées sans télécharger les éditions correspondantes.

• Les formules sont revues visuellement au lieu d’être recalculées.

• Les estimations sont écrasées lorsque les données réelles arrivent, ce qui fait perdre la piste d’origine.

• Les accès administrateur sont partagés.

• Le vérificateur reçoit une version différente de celle de la direction.

• L’audit interne teste seulement le total final, et non la traçabilité de la source à la soumission.

• La réussite de la sauvegarde est présumée sans test de restauration.

• Une correction tardive est effectuée sans évaluer le rapport déposé ni la notification à l’autorité.

Effectuez des rapprochements de la population des sources et des flux de données : les entités, installations, comptes et équipements avec les référentiels ; le carburant avec les factures, le grand livre et les stocks ; l’électricité et le refroidissement avec les compteurs et les comptes ; les fluides frigorigènes avec les équipements et les mouvements de gaz ; et les facteurs avec le registre approuvé. Rapprochez les totaux définitifs avec le classeur approuvé, le formulaire soumis et le reçu, et les périodes antérieures avec le registre des retraitements ou des changements de méthodologie.

La piste d’audit devrait identifier, pour chaque flux de données significatif, le préparateur, le réviseur, la modification, les preuves et la version finale approuvée. Conservez des identifiants stables des sources et des facteurs, les données d’entrée et formules de calcul, les estimations, les approbations, la soumission verrouillée, le reçu, l’historique des corrections et les journaux d’accès.

Utilisez des accès fondés sur les rôles et le moindre privilège, l’authentification multifacteur, des journaux immuables des modifications et approbations, le chiffrement et le transfert sécurisé, des sauvegardes et restaurations testées, la réponse aux incidents et la conservation à des fins juridiques. Il s’agit de mesures de mise en œuvre destinées à préserver l’intégrité et la disponibilité des preuves conservées, et non de contrôles détaillés prescrits par le décret-loi.