Governance dei dati e controlli interni ESRS: dai responsabili dei datapoint alle evidenze per l’assurance

Redatta in inglese britannico come Knowledge Card Package per professionisti: risposta, spiegazione, applicazione, evidenze, connessioni e livello editoriale.

Il reporting ESRS combina informazioni con caratteristiche molto diverse: metriche consolidate, stime, dati dei siti, informazioni sulla catena del valore, politiche, obiettivi, piani previsionali, valutazioni qualitative e affermazioni narrative. Questi elementi possono avere origine in sistemi finanziari, piattaforme HR, registri ambientali, strumenti di approvvigionamento, registri legali, sondaggi, modelli elaborati da consulenti e file gestiti manualmente. Una singola informativa di sostenibilità può quindi dipendere da centinaia di contributori e trasformazioni che non sono visibili nel reporting pubblicato.

Il rischio di reporting non è limitato a un numero errato. Un’errata rappresentazione rilevante può derivare anche da:

• un’informativa omessa o un’entità mancante;

• il perimetro, il periodo, l’unità o la definizione errati;

• un’affermazione non supportata sull’attuazione o sull’efficacia di una politica;

• un modello modificato che non è stato approvato;

• una stima presentata senza le relative assunzioni o limitazioni;

• un obiettivo che non riconcilia con il proprio anno o valore di riferimento;

• una rettifica tardiva che elude la revisione;

• una versione del reporting che non corrisponde più al pacchetto di evidenze controllato.

L’obiettivo non è creare controlli in stile finanziario fine a sé stessi. È costruire una catena informativa che consenta alla direzione, al consiglio di amministrazione e al prestatore di servizi di assurance di comprendere da dove provengono le informazioni, perché siano appropriate, come siano state verificate e quali limitazioni permangano.

Gli ESRS 2023 attuali richiedono all’impresa di illustrare le caratteristiche principali del proprio sistema di gestione dei rischi e di controllo interno in relazione al processo di reporting di sostenibilità. L’informativa comprende l’ambito di applicazione e i componenti principali del sistema, l’approccio alla valutazione e alla definizione delle priorità dei rischi, i rischi principali e le strategie di mitigazione, l’integrazione dei risultati nelle funzioni interne e la rendicontazione periodica agli organi amministrativi, direttivi e di vigilanza.

Gli ESRS 2026 adottati semplificano l’informativa principale, limitandola all’ambito di applicazione, alle caratteristiche principali e ai componenti dei processi e sistemi di gestione dei rischi e di controllo interno. Il relativo Requisito applicativo stabilisce che l’impresa deve considerare la completezza e l’integrità dei dati e l’accuratezza dei risultati delle stime come aspetti rilevanti della gestione dei rischi di reporting.

L’ESRS non prescrive un unico framework di controllo, un unico prodotto software, un unico modello delle tre linee, un’unica struttura per le cartelle delle evidenze o un’unica frequenza obbligatoria per ogni controllo. L’organizzazione deve progettare controlli proporzionati ai propri rischi di reporting, alla propria struttura e alla maturità dei dati. Può allineare il sistema ai processi esistenti di reporting finanziario, gestione dei rischi d’impresa, compliance o revisione interna, ma la progettazione deve affrontare i rischi specifici delle informazioni di sostenibilità.

Un modello affidabile separa preparazione, responsabilità, revisione e approvazione, evitando al contempo un numero ingestibile di passaggi di consegna.

Per un’impresa più piccola, una persona può svolgere diversi ruoli operativi. Tuttavia, le informazioni significative non dovrebbero essere preparate e approvate in via definitiva dalla stessa persona senza una revisione aggiuntiva.

Tre livelli di controllo collegati

1. I controlli a livello di entità disciplinano l’ambito di applicazione, le responsabilità, la politica di reporting, la valutazione dei rischi, l’etica, l’escalation e la supervisione del consiglio.

2. I controlli a livello di processo disciplinano la raccolta dei dati, il consolidamento, i calcoli, le stime, le informazioni narrative, la chiusura e l’assemblaggio del reporting.

3. I controlli a livello di informativa verificano una particolare metrica o affermazione rispetto alla relativa specifica, alle evidenze e ai requisiti di presentazione ESRS.

Un sistema maturo collega tutti e tre i livelli. Una metrica ricalcolata perfettamente può comunque essere fuorviante se il perimetro dell’entità era errato. Una politica di gruppo ben progettata può comunque fallire se un sito carica un foglio di lavoro non controllato.

La matrice delle informative è il livello organizzativo tra la valutazione della rilevanza e la raccolta dei dati. Dovrebbe registrare, per ciascun IRO rilevante e per ciascuna informativa applicabile:

• principio ESRS, DR, paragrafo o datapoint;

• tema rilevante e collegamento con l'IRO;

• perimetro e periodo di rendicontazione;

• responsabile dell'informativa e collaboratore;

• stato quantitativo o narrativo;

• ID del dizionario dei dati o della specifica narrativa;

• sistema di origine o categoria di evidenza;

• ID del calcolo o della metodologia;

• ID del controllo e frequenza del riesame;

• sezione della relazione e riferimento incrociato;

• stato dell'assurance e rilievi aperti;

• versione corrente e data dell'ultima modifica.

Un elenco di datapoint ESRS non è ancora una matrice dei controlli. L'organizzazione deve determinare quali informazioni sono rilevanti, come si applicano ai suoi fatti e quali evidenze supportano una rappresentazione corretta.

Un dizionario dei dati impedisce a siti, funzioni e periodi diversi di utilizzare la stessa etichetta per informazioni diverse. Ciascuna scheda della metrica soggetta a controllo dovrebbe contenere almeno:

Il dizionario dovrebbe essere approvato prima della richiesta finale dei dati. La modifica delle definizioni durante la chiusura crea comparativi incoerenti e distorsioni della direzione non documentate.

Un registro degli elementi probativi documenta dove sono conservati gli elementi di supporto e come si correlano a un’informativa. Non è necessario copiare ogni documento fonte in un’unica cartella, ma il collegamento deve essere duraturo e accessibile ai revisori autorizzati.

I campi raccomandati includono:

• ID, titolo e descrizione dell’elemento probativo;

• metrica, asserzione narrativa, obiettivo o giudizio correlati;

• responsabile e custode della fonte;

• sistema o repository originale;

• periodo di riferimento e data di estrazione;

• versione, hash del file o identificativo immutabile, ove disponibile;

• classificazione dell’accesso: pubblico, interno, riservato, soggetto a privilegio o dati personali;

• periodo di conservazione;

• revisione effettuata e revisore;

• limitazioni o supporto mancante;

• collegamento al problema e al registro delle azioni correttive;

• versione della relazione finale supportata.

Gerarchia della qualità degli elementi probativi

Gli elementi probativi sono più solidi quando sono contemporanei, completi, generati indipendentemente o sottoposti a controllo di sistema, direttamente collegati al periodo oggetto di informativa e idonei a essere ricalcolati. Può essere necessaria una spiegazione della direzione, ma non dovrebbe sostituire i documenti fonte laddove tali documenti dovrebbero esistere.

Per le informative narrative, gli elementi probativi possono includere politiche approvate, verbali del consiglio di amministrazione, registri dei programmi, contratti, registri del coinvolgimento degli stakeholder, dati relativi ai reclami, registri delle presenze alla formazione, budget, registri di monitoraggio delle azioni e analisi dei risultati. Una politica dimostra che la formulazione è stata approvata; da sola non dimostra l’attuazione o l’efficacia.

Le metriche di sostenibilità richiedono frequentemente trasformazioni più complesse di quanto suggerisca il numero finale. Un inventario dei calcoli dovrebbe identificare ogni foglio di lavoro, script, modello e calcolo esterno utilizzato nell’informativa.

I controlli minimi includono:

1. Approvazione delle formule. Il responsabile della metodologia conferma la formula, i fattori, le unità e il perimetro.

2. Riconciliazione dalla fonte all’input. Gli input sono riconciliati con i totali del sistema fonte o con estratti documentati.

3. Ricalcolo automatizzato o indipendente. Un revisore riproduce i calcoli significativi o verifica l’integrità delle formule.

4. Governance dei fattori. I fattori di emissione, i tassi di conversione e le tabelle di classificazione hanno una fonte, una versione e un periodo di validità.

5. Convalida delle stime. Le assunzioni sono ragionevoli e supportabili, l’incertezza è valutata e, ove possibile, i risultati effettivi sono confrontati con le stime precedenti.

6. Controllo delle modifiche. Le modifiche al modello richiedono una motivazione documentata, una valutazione dell’impatto, un’approvazione e una revisione comparativa.

7. Protezione. Celle bloccate, repository di codice, autorizzazioni di accesso e file master controllati riducono le modifiche accidentali o non autorizzate.

8. Riconciliazione dell’output. Le tabelle finali e i valori narrativi sono riconciliati con l’output del calcolo approvato e con la versione della relazione.

Un foglio di calcolo può essere controllato se la titolarità, la gestione delle versioni, l’accesso, la revisione delle formule e gli elementi probativi sono disciplinati. Una piattaforma sofisticata può non essere controllata se le definizioni o le approvazioni sono deboli.

Gli elementi probativi richiesti dagli ESRS possono includere informazioni personali, reclami, registri dei lavoratori, risultanze sui fornitori, pareri legali e assunzioni commercialmente sensibili. Un accesso ampio non equivale alla trasparenza degli elementi probativi.

Un modello pratico di accesso dovrebbe:

• applicare autorizzazioni basate sul minimo privilegio;

• separare, ove proporzionato, i diritti di redattore, revisore e amministratore;

• limitare i dati personali e relativi ai reclami e fornire estratti informativi privi di identificativi;

• identificare il materiale soggetto a privilegio legale o relativo a indagini;

• impedire la cancellazione o la sovrascrittura silenziosa dopo l’approvazione;

• conservare i registri degli accessi per i repository ad alto rischio;

• utilizzare metodi di trasferimento controllati per le controllate e i fornitori esterni;

• definire cosa il prestatore di servizi di assurance può esaminare e come saranno gestiti gli elementi probativi riservati;

• revocare l’accesso dopo modifiche al ruolo o il completamento del progetto.

La relazione pubblica dovrebbe essere tracciabile fino agli elementi probativi senza divulgare dettagli riservati non necessari per l’informativa.

Un revisore dovrebbe fare più che confermare che un campo sia compilato. La revisione dovrebbe riguardare l’asserzione pertinente all’informazione.

Un modello di approvazione per fasi include comunemente:

• certificazione del redattore;

• approvazione del responsabile del dato;

• revisione del responsabile del controllo;

• revisione tecnica degli ESRS;

• revisione funzionale o legale per le informative sensibili;

• approvazione della direzione a livello di tematica;

• certificazione dell’informativa di gruppo;

• approvazione finale della direzione e del consiglio di amministrazione.

Le approvazioni finali dovrebbero identificare i dati esatti e la versione della relazione approvati. Un’e-mail generica che dice “sembra tutto a posto” costituisce un elemento probativo debole.

Ogni elemento informativo soggetto a controllo necessita di una regola per le modifiche successive alla presentazione iniziale. Il registro delle modifiche dovrebbe riportare:

• elemento e versione modificati;

• data e persona che ha apportato la modifica;

• motivo: nuovi dati di origine, correzione di un errore, modifica della metodologia, modifica del perimetro o modifica della presentazione;

• impatto quantitativo e qualitativo;

• effetto sui dati comparativi, sugli obiettivi, sugli effetti finanziari e sulle informazioni collegate;

• necessità di ripetere l'esecuzione dei controlli;

• approvazioni ottenute;

• se il fornitore della garanzia e il consiglio di amministrazione sono stati informati;

• versione della relazione finale interessata.

Le modifiche tardive dovrebbero seguire una soglia definita e un percorso di escalation. L'obiettivo non è vietare le correzioni, ma garantire che una correzione non crei nuove incoerenze altrove nella dichiarazione.

Le attestazioni della direzione sostengono la responsabilità; non sostituiscono gli elementi probativi o i controlli. Le linee guida non vincolanti della CEAOB sulla garanzia limitata stabiliscono che i professionisti dovrebbero richiedere una lettera di attestazione firmata da almeno un membro responsabile dell'alta direzione o dagli organi di governance, inclusa la conferma della responsabilità per le dichiarazioni di sostenibilità.

Un processo interno di attestazione può chiedere ai dirigenti responsabili di confermare che, per quanto a loro conoscenza:

• le informazioni nella loro area sono complete e preparate sulla base di definizioni approvate;

• le stime, i giudizi e le limitazioni significativi sono stati comunicati;

• gli errori noti, le preoccupazioni relative a frodi e le non conformità rilevanti per la dichiarazione sono stati segnalati;

• gli eventi successivi e le modifiche significativi sono stati comunicati;

• le politiche, le azioni e gli obiettivi sono descritti accuratamente;

• gli elementi probativi sono stati conservati e sono disponibili;

• le questioni irrisolte sono elencate anziché occultate.

La lettera di attestazione è l'ultimo livello di responsabilità, non un rimedio alla mancanza di documentazione di origine.

Le risultanze dovrebbero essere gestite in un unico registro controllato delle problematiche, indipendentemente dal fatto che derivino dal riesame della direzione, dall'audit interno, dalla garanzia, dal riscontro dell'autorità di vigilanza o da una correzione successiva alla pubblicazione.

Un flusso di lavoro utile è:

1. Registrare la problematica indicando l'informativa interessata, la fonte, il controllo e la versione della relazione.

2. Classificare la problematica: dati, perimetro, metodo, elementi probativi, esecuzione del controllo, narrativa, presentazione o governance.

3. Valutare la gravità sulla base dell'errata rappresentazione potenziale, della pervasività, del rischio normativo e del tempo rimanente alla pubblicazione.

4. Contenere il rischio immediato, ad esempio sospendendo un numero o limitando un'affermazione non supportata.

5. Correggere le informazioni del periodo corrente e ripetere l'esecuzione dei controlli interessati.

6. Analizzare la causa principale: carenza di progettazione, carenza di esecuzione, capacità, sistema, definizione o supervisione.

7. Risolvere con un responsabile, una scadenza, finanziamenti e prove del successo.

8. Convalidare la chiusura in modo indipendente e aggiornare la matrice dei controlli, il dizionario o la metodologia.

9. Riferire le problematiche significative o oltre la scadenza alla direzione e al consiglio di amministrazione.

Chiudere una richiesta di garanzia non equivale a risolvere il processo sottostante. Una chiusura sostenibile modifica il sistema che ha causato la risultanza.

La matrice seguente è illustrativa. La frequenza dei controlli e gli elementi probativi dovrebbero essere adattati al rischio, al calendario della rendicontazione e alla maturità del sistema.

Figura 2. Matrice illustrativa dei controlli ESRS che collega rischi, controlli, responsabili ed elementi probativi. Visuale didattica con marchio di London Reporting Academy.

Come utilizzare la matrice

Ogni controllo dovrebbe avere un documento di progettazione separato che specifichi obiettivo, popolazione, procedura, elementi probativi, competenza del revisore, criteri di fallimento ed escalation. La tabella nella relazione può descrivere il sistema complessivo; la matrice dettagliata rimane un elemento probativo interno.

Profilo. Un produttore diversificato stima le emissioni relative ai beni acquistati utilizzando la spesa per gli approvvigionamenti e i fattori di emissione di settore, poiché i dati sulle attività specifici dei fornitori sono incompleti.

Rischio iniziale. L’estratto degli approvvigionamenti esclude due entità acquisite di recente, le valute sono convertite utilizzando tassi diversi, le versioni dei fattori non sono documentate e un consulente invia solo il numero finale.

Progettazione del controllo. Il gruppo:

1. riconcilia l’elenco delle entità con il consolidamento finanziario;

2. estrae la spesa per gli approvvigionamenti mediante una query controllata e riconcilia i totali con la funzione finanziaria;

3. applica un’unica convenzione approvata per la conversione valutaria;

4. documenta la fonte, la versione, la classificazione e il periodo di efficacia del fattore;

5. conserva il modello e richiede dettagli sufficienti per la ripetizione dell’esecuzione;

6. effettua un’analisi di sensibilità e identifica i principali fattori di incertezza;

7. confronta il risultato con l’anno precedente e con le variazioni dell’attività aziendale;

8. ottiene l’approvazione della metodologia e del responsabile del dato;

9. illustra il metodo di stima e le limitazioni in modo proporzionato;

10. registra un piano per aumentare la copertura dei dati specifici dei fornitori.

Elementi probativi per l’assurance. Il fascicolo degli elementi probativi contiene la riconciliazione del consolidamento, l’estratto degli approvvigionamenti, la tabella di mappatura, la libreria dei fattori, il modello, l’analisi di sensibilità, la documentazione del riesame e il riferimento incrociato all’informativa.

Limitazione. Si tratta di una progettazione illustrativa del controllo. La metodologia GHG appropriata, il perimetro della categoria e l’informativa dipendono dai fatti relativi all'undertaking e dai requisiti ESRS applicabili.

1. Assegnare un unico “responsabile ESRS” a centinaia di datapoint. Assegnare responsabili individuabili a livello di informativa o metrica e identificare i collaboratori e gli esaminatori.

2. Costruire il registro delle evidenze dopo la redazione. Definire i requisiti delle evidenze nel dizionario e nella matrice delle informative prima della richiesta dati.

3. Trattare le informative narrative come testo non controllato. Utilizzare un registro delle asserzioni e un esame delle evidenze per politiche, azioni, obiettivi, progressi ed efficacia.

4. Utilizzare lo stesso esame per ogni metrica. Progettare i controlli in funzione dell’asserzione e del rischio effettivi: completezza, perimetro, cut-off, stima o presentazione.

5. Consentire ai fogli di calcolo locali di sovrascrivere le definizioni di gruppo. Bloccare le specifiche principali e richiedere eccezioni documentate.

6. Conservare i modelli esclusivamente nei sistemi dei fornitori esterni. Prevedere contrattualmente dati, metodologia e output sufficienti per la titolarità della direzione e la riesecuzione.

7. Utilizzare le attestazioni della direzione per compensare l’assenza di evidenze. Le attestazioni integrano, ma non sostituiscono, registrazioni e controlli.

8. Chiudere i rilievi senza porre rimedio alla causa principale. Aggiornare il processo, il responsabile, il sistema o la progettazione del controllo e convalidarne l’efficacia.

9. Non controllare il file finale Word, di progettazione o di tagging. Riconciliare la versione pubblicata con i dati approvati e archiviare l’esatto pacchetto finale.

10. Progettare eccessivamente i datapoint a basso rischio trascurando nel contempo le stime e i perimetri ad alto rischio. Utilizzare una valutazione del rischio documentata per definire le priorità degli sforzi.

• ESRS 2 GOV-5 attuale: gestione dei rischi e controlli interni sulla rendicontazione di sostenibilità.

• ESRS 2 GOV-4 e AR 10 rivisti adottati: ambito di applicazione, caratteristiche principali e componenti del sistema di controllo; considerazione della completezza, integrità e accuratezza delle stime dei dati.

• ESRS 1: presentazione corretta, caratteristiche qualitative, informazioni rilevanti, stime, informazioni sulla catena del valore e preparazione della dichiarazione di sostenibilità.

• GDR-M e GDR-T: metodologia e informazioni contestuali per metriche e obiettivi.

• EFRAG IG 3: inventario non autorevole dei datapoint per gli ESRS 2023; utile per l’architettura, ma non sostitutivo della rilevanza o della progettazione dei controlli.

• Linee guida CEAOB sulla limited assurance: procedure basate sul rischio, evidenze sufficienti e appropriate, ricalcolo, riesecuzione, informazioni sulla catena del valore e lettere di attestazione, fatte salve le disposizioni nazionali.

• ISSA 5000: principio internazionale completo per gli incarichi di assurance sulla sostenibilità laddove adottato o altrimenti applicabile.

Gli ESRS richiedono un quadro formale di controllo interno?

Gli ESRS richiedono di fornire informazioni sul sistema di gestione dei rischi di rendicontazione e di controllo interno, ma non prescrivono un quadro denominato specificamente. L’organizzazione dovrebbe utilizzare un sistema proporzionato e documentato che affronti i propri rischi rilevanti di rendicontazione.

Un registro delle evidenze è obbligatorio?

I principi non prescrivono uno strumento chiamato registro delle evidenze. È un modo pratico per dimostrare tracciabilità, titolarità, accesso e riesame ed è particolarmente utile per la preparazione all’assurance.

Il team per la sostenibilità può essere responsabile di tutti i controlli?

Il team centrale può essere responsabile del quadro di rendicontazione, ma le informazioni alla fonte dovrebbero normalmente rimanere sotto la responsabilità della funzione aziendale, finanziaria, HR, acquisti, legale o operativa pertinente. Il riesame indipendente dovrebbe essere proporzionato al rischio.

I fornitori di limited assurance verificano ogni controllo?

No. Il lavoro di assurance è basato sul rischio. Il professionista definisce procedure per ottenere evidenze sufficienti e appropriate a supporto della conclusione e può utilizzare ispezione, osservazione, conferma, ricalcolo, riesecuzione, analisi o indagine. La direzione non dovrebbe presumere che ogni controllo o datapoint sarà verificato.

Come dovrebbero essere controllate le affermazioni narrative?

Creare un registro delle asserzioni che colleghi ciascuna dichiarazione significativa alle evidenze, al responsabile, al riesame e alla versione della relazione. Distinguere l’esistenza della politica, l’attività di attuazione, l’output, il risultato e l’efficacia.