Primo ciclo di rendicontazione ESRS: un piano di progetto di 15 mesi per imprese e gruppi

Preparato in inglese britannico come pacchetto di schede informative pratiche: risposta, spiegazione, applicazione, evidenze, collegamenti e livello editoriale.

Una chiusura finanziaria matura si basa su politiche, sistemi, responsabili, riconciliazioni e governance che operano già durante tutto l'anno. La rendicontazione di sostenibilità per la prima volta spesso non dispone di questa infrastruttura. I dati possono trovarsi nelle piattaforme HR, nei fogli di calcolo, nei sistemi dei siti, negli strumenti di approvvigionamento, nei registri dei rischi, nei canali per i reclami e presso fornitori esterni. Le informative narrative possono dipendere da documenti del consiglio di amministrazione, decisioni strategiche, coinvolgimento degli stakeholder ed evidenze provenienti dalla catena del valore.

Un piano di 15 mesi crea il tempo necessario per testare il processo prima della chiusura prevista dalla legge. Consente inoltre all'organizzazione di correggere problemi relativi a definizioni, confini e controlli mentre vi è ancora tempo per raccogliere dati migliori. Il piano può essere compresso per un'impresa semplice o esteso per un gruppo complesso, ma la sequenza dovrebbe rimanere controllata.

Il responsabile del progetto dovrebbe approvare un breve documento di avvio che riguardi:

• le entità giuridiche e la struttura del gruppo;

• l'ambito previsto della CSRD per giurisdizione e periodo di rendicontazione;

• se si sta valutando un'esenzione per la capogruppo o un'altra esenzione;

• l'edizione degli ESRS che si prevede trovi applicazione e la contingenza relativa alla transizione;

• la data di pubblicazione della relazione sulla gestione e le date locali di deposito;

• il fornitore dell'assurance, il quadro nazionale per l'assurance e i vincoli di indipendenza;

• il calendario della chiusura del bilancio;

• le lingue, i requisiti di marcatura digitale e la strategia di incorporazione mediante riferimento;

• le precedenti relazioni di sostenibilità, i dataset GRI o altri dataset disponibili per il riutilizzo;

• acquisizioni, cessioni, riorganizzazioni o modifiche dei sistemi note.

A partire dagli esercizi finanziari che iniziano il 1 January 2027 o successivamente, l'ambito modificato dell'UE si applica generalmente alle imprese che superano sia un fatturato netto di EUR450 million sia una media di 1,000 dipendenti, anche a livello consolidato ove applicabile. L'applicazione transitoria per 2025-2026 può dipendere dall'uso, da parte dello Stato membro, della deroga consentita. Il progetto dovrebbe quindi utilizzare un memorandum sull'ambito giuridico, non l'ipotesi informale “probabilmente rientriamo nell'ambito di applicazione”.

Le indicazioni dei mesi sono relative. Un gruppo con una scadenza anticipata per la relazione annuale potrebbe dover iniziare prima dell'anno di rendicontazione. Un gruppo decentralizzato potrebbe inoltre aver bisogno di un ciclo pilota aggiuntivo per le trasmissioni da parte dei siti e delle controllate.

Questo workstream è di competenza congiunta delle funzioni legale, finanza e rendicontazione di sostenibilità. Dovrebbe rispondere a quanto segue:

• Quale impresa redige l’informativa individuale o consolidata di sostenibilità?

• Quali controllate sono incluse attraverso il perimetro di consolidamento finanziario?

• Come sono trattate le società collegate, le joint arrangement, le attività oggetto di leasing e gli altri rapporti per ciascuna metrica?

• Quali informazioni sulla catena del valore a monte e a valle sono rilevanti?

• Quali norme nazionali di attuazione, esenzioni e requisiti di assurance si applicano?

• Quale edizione degli ESRS è giuridicamente efficace per il periodo?

• Come risponderà il progetto qualora gli ESRS rivisti entrino in vigore durante l’attuazione?

Il principale risultato è una mappa del perimetro, non solo un parere legale. Dovrebbe collegare ogni entità giuridica e categoria della catena del valore ai responsabili dei dati, ai sistemi, agli obblighi di rendicontazione e alle esclusioni.

Controllo critico

Qualsiasi modifica alla struttura del gruppo, al periodo di rendicontazione o all’edizione dello standard attiva una valutazione documentata dell’impatto sulla materialità, sui datapoint, sui metodi, sui dati comparativi, sull’assurance e sulla formulazione dell’informativa.

Il progetto necessita di una chiara separazione tra preparazione, revisione e approvazione. Un modello pratico comprende:

• organo amministrativo o organo di sorveglianza: supervisione e approvazione ultima della relazione sulla gestione;

• comitato audit, assurance o sostenibilità: esame approfondito del processo, dei controlli, della materialità e dei rilievi;

• comitato direttivo esecutivo: ambito, risorse, decisioni interfunzionali ed escalation delle problematiche;

• direttore del programma: cronoprogramma integrato, dipendenze ed evidenze del completamento;

• responsabile della rendicontazione tecnica: interpretazione degli ESRS, matrice delle informative e redazione;

• responsabile dei dati e dei controlli: dizionario dei dati, calcoli, controlli ed evidenze;

• responsabili tematici: politiche, azioni, metriche, obiettivi ed evidenze narrative;

• team legale/privacy: ambito giuridico, dichiarazioni, riservatezza e dati personali;

• finanza e rischi: connettività, effetti finanziari, consolidamento e controlli;

• internal audit: revisione indipendente della preparazione, ove appropriato;

• prestatore di servizi di assurance: incarico indipendente, non progettista dei controlli della direzione.

Il comitato direttivo dovrebbe approvare un registro delle decisioni che identifichi la questione, le opzioni, la base documentale, il responsabile, l’approvatore, la data e l’effetto sulle informative.

La DMA è sul percorso critico perché determina i temi materiali, gli IRO e gran parte dell’architettura delle informative. Un primo ciclo non dovrebbe rinviare la conclusione sulla materialità fino alla redazione dell’informativa.

Un fascicolo DMA difendibile comprende:

1. analisi del modello di business, della strategia, dell’area geografica, del settore e della catena del valore;

2. un universo completo di IRO e una tassonomia controllata;

3. fonti delle evidenze e contributi degli stakeholder;

4. criteri di materialità d’impatto e di materialità finanziaria;

5. valutazioni di gravità, probabilità e orizzonte temporale;

6. soglie o regole decisionali qualitative e analisi di sensibilità;

7. esame da parte della direzione e approvazione da parte degli organi di governo;

8. modifiche rispetto alle valutazioni precedenti;

9. collegamenti ai temi oggetto di rendicontazione e alle informazioni specifiche dell’entità;

10. limitazioni irrisolte e azioni di miglioramento.

Rischio sul percorso critico

Se la DMA è in ritardo, i responsabili dei dati non possono sapere quali metriche tematiche, informative sulle politiche e informative sulle azioni saranno richieste. Il progetto raccoglie quindi una quantità eccessiva di dati ESG generali oppure rileva lacune materiali dopo la chiusura dell’esercizio.

La matrice delle informative collega:

• IRO e temi materiali;

• DR, datapoint e AR;

• responsabile e revisore;

• sistema di origine o evidenza narrativa;

• metodologia, unità, periodo e perimetro;

• file di calcolo e consolidamento;

• agevolazione, stima od omissione applicabile;

• collocazione nell’informativa e riferimento incrociato;

• evidenze di controllo e assurance;

• stato, problema e approvazione.

Il dizionario dei dati specifica quindi ciascun datapoint quantitativo e narrativo. Dovrebbe essere sottoposto a controllo delle versioni e utilizzato da software, fogli di calcolo, istruzioni ed elenchi delle richieste di assurance. Un registro separato delle evidenze rileva i file effettivi, le approvazioni e lo stato di conservazione.

Elementi ad alto rischio da sottoporre per primi a una simulazione

Dare priorità ai datapoint che presentano una o più delle seguenti caratteristiche:

• dati della catena del valore o fornitori esterni;

• molteplici sistemi di origine e trasformazioni manuali;

• stime, proxy o modelli;

• effetti finanziari e collegamenti ai bilanci;

• inventario dei gas a effetto serra e Scope 3;

• popolazioni della forza lavoro soggette a vincoli di privacy;

• informazioni su incidenti, reclami o diritti umani;

• nuove baseline, obiettivi o riesposizioni;

• metriche specifiche dell’entità;

• significativo giudizio della direzione.

Un primo ciclo di rendicontazione trae vantaggio da due simulazioni prima della chiusura finale.

Simulazione 1 - test di progettazione

Utilizzare dati parziali dell’esercizio o dell’esercizio precedente per testare definizioni, perimetri, formule, evidenze e consolidamento. L’obiettivo non è pubblicare un numero perfetto; è individuare i difetti di progettazione.

Simulazione 2 - test operativo

Utilizzare dati da inizio esercizio e richiedere ai responsabili di eseguire i controlli previsti. Le evidenze campionate dovrebbero essere archiviate come avverrà per l’assurance. Il team dovrebbe monitorare i tempi di preparazione e i colli di bottiglia.

Chiusura finale

La chiusura della rendicontazione di sostenibilità dovrebbe comprendere:

• una data di cut-off e una politica per le rettifiche tardive;

• modelli di input bloccati o un workflow di sistema;

• certificazione da parte dell’entità e del sito;

• controllo delle versioni dei calcoli;

• riconciliazioni e analisi degli scostamenti;

• esame e approvazione delle stime;

• valutazione degli eventi successivi;

• processo di attestazione della direzione;

• chiusura delle problematiche e approvazione finale.

Il calendario di chiusura dovrebbe essere integrato con quello della chiusura finanziaria perché gli effetti finanziari, il numero di dipendenti, i denominatori dei ricavi, le modifiche al consolidamento e l’approvazione della relazione dipendono dai dati finanziari.

La redazione dovrebbe iniziare dalle evidenze approvate, non da testo generico. Per ogni tema materiale, il team dovrebbe collegare:

• IRO materiali;

• governance e strategia;

• politiche;

• azioni e risorse;

• metriche e obiettivi;

• effetti finanziari attuali e previsti, ove richiesto;

• limitazioni e stime;

• collegamenti ai bilanci e ad altri contenuti della relazione sulla gestione.

Il redattore tecnico dovrebbe mantenere un registro delle dichiarazioni. Ogni dichiarazione significativa è classificata come requisito, dichiarazione fattuale, stima, giudizio della direzione, piano futuro o interpretazione e collegata alle evidenze.

Esame della redazione di gruppo

Un’informativa consolidata non dovrebbe essere letta come un elenco di iniziative delle controllate. Dovrebbe illustrare il quadro a livello di gruppo, disaggregando quando l’aggregazione oscurerebbe variazioni significative. I contributi delle controllate necessitano di una terminologia comune e di un processo di approvazione.

Il prestatore di servizi di assurance non sostituisce i controlli della direzione. Prima del lavoro sul campo, la direzione dovrebbe essere in grado di dimostrare:

• come sono stati approvati l’ambito e la materialità;

• chi è responsabile di ciascuna informativa;

• come i dati siano completi e accurati;

• come siano governate le stime e i modelli;

• come siano comprovate le dichiarazioni narrative;

• come siano controllate le modifiche e le riesposizioni;

• come siano sottoposti a escalation i rilievi;

• come operi la supervisione del consiglio;

• come l’informativa pubblicata sia riconciliata con la bozza controllata.

Gli ESRS 2023 richiedono di fornire informazioni sulla gestione dei rischi e sui controlli interni nell’ambito di GOV-5; gli ESRS rivisti del 2026 spostano tale informativa in GOV-4 e semplificano l’informativa principale, limitandola all’ambito, alle principali caratteristiche e ai componenti dei processi e dei sistemi. Gli AR adottati evidenziano specificamente la completezza e l’integrità dei dati e l’accuratezza delle stime come rischi di rendicontazione rilevanti.

Figura 2. Percorso critico e gate decisionali per il primo ciclo ESRS. Visuale educativa con marchio della London Reporting Academy.

I seguenti intervalli sono ipotesi di implementazione per un gruppo moderatamente complesso, non requisiti ESRS.

Un gruppo con sistemi di origine dei dati carenti, numerose giurisdizioni o metriche estese relative alla catena del valore può richiedere una capacità significativamente maggiore. Un’entità più semplice, dotata di infrastrutture mature per il GRI e per i controlli finanziari, può richiederne meno.

Verifica delle risorse

Chiedersi se il piano finanzia il lavoro svolto al di fuori del team centrale per la sostenibilità: preparazione dei dati presso i siti, estrazioni da HR e dagli approvvigionamenti, revisione legale, riconciliazione finanziaria, gestione delle evidenze, traduzione, marcatura digitale e materiali per il consiglio di amministrazione. I progetti con risorse insufficienti spesso sembrano dotati di personale adeguato fino al Mese 10, quando tutti i flussi di lavoro convergono.

Profilo. Un gruppo comprende 32 entità giuridiche, 18 siti produttivi, attività in nove Paesi e una precedente relazione GRI. Prevede sei argomenti ESRS materiali e pianifica la pubblicazione quattro mesi dopo la fine dell’esercizio.

Posizione iniziale. Esistono dati sul clima e sulla forza lavoro, ma i confini dei siti differiscono. Lo Scope 3 utilizza un modello elaborato da un consulente, con una titolarità interna limitata. I dati sociali sui fornitori si basano su questionari. Le politiche narrative sono archiviate in più versioni. Non esiste un registro integrato delle evidenze.

Decisione sul piano. Il gruppo inizia 11 mesi prima della fine dell’esercizio e utilizza i primi quattro mesi per l’ambito, la governance e la DMA. Dà priorità alle prove a secco per le emissioni di GHG, le popolazioni della forza lavoro, l’acqua, i rifiuti e le informative sui lavoratori nella catena del valore. Il registro delle evidenze e il dizionario dei dati vengono implementati prima della prima richiesta di dati.

Risultato critico. La prima prova a secco mostra che tre siti dichiarano i lavoratori a contratto come dipendenti e che i certificati di elettricità rinnovabile non sono collegati ai periodi di consumo. Poiché il problema viene individuato nel Mese 8, il gruppo corregge le definizioni e le evidenze prima della chiusura finale.

Esito. Il lavoro sul campo di assurance individua comunque rilievi, ma questi riguardano principalmente la qualità della documentazione anziché errori fondamentali nei confini. Il gruppo pubblica la relazione e trasforma i rilievi in un programma di remediation di 90 giorni.

1. Iniziare dopo la chiusura dell'esercizio. Iniziare abbastanza presto da influenzare la raccolta dei dati e la governance durante il periodo di rendicontazione.

2. Trattare la DMA come una presentazione di un consulente. Conservare evidenze, metodologia, decisioni, contestazioni e approvazioni in un fascicolo controllato.

3. Assegnare i datapoint prima di definire i perimetri. Definire le specifiche delle metriche prima delle richieste di dati.

4. Raccogliere solo dati quantitativi. Politiche, azioni, governance e limitazioni descritte in forma narrativa richiedono evidenze e controlli.

5. Attendere l'assurance per individuare le carenze nei controlli. Eseguire prima simulazioni da parte della direzione e contestazioni interne.

6. Lasciare gli effetti finanziari al team della sostenibilità. Integrare fin dall'inizio i responsabili di finanza, rischio, strategia e contabilità.

7. Presumere di poter copiare direttamente i dati GRI precedenti. Riconciliare rilevanza, perimetro, definizioni, periodo e requisiti di informativa.

8. Sottovalutare i tempi necessari per il consiglio di amministrazione e per la pubblicazione. Riservare fin dalla mobilitazione gli slot per comitati, consiglio di amministrazione, traduzione, tagging e integrazione nella relazione sulla gestione.

9. Chiudere le questioni tramite e-mail. Utilizzare un registro delle questioni con responsabile, gravità, evidenza, revisore e risoluzione approvata.

10. Pubblicare prima di aver bloccato l'archivio delle evidenze. Bloccare insieme la versione finale della relazione, i calcoli, le approvazioni e i file di origine.

• Direttiva contabile come modificata dalla Direttiva (UE) 2026/470: ambito giuridico e requisito di rendicontazione.

• ESRS 1: impresa oggetto della rendicontazione, catena del valore, doppia rilevanza, rilevanza dell'informazione, preparazione, presentazione ed esenzioni.

• ESRS 2: governance, strategia, processo IRO, politiche, azioni, metriche, obiettivi e controlli sulla rendicontazione.

• EFRAG IG 1, IG 2 e IG 3: supporto all'attuazione non autorevole per gli ESRS 2023.

• Linee guida CEAOB sull'assurance limitata e standard nazionali applicabili: pianificazione dell'assurance durante il periodo transitorio dell'UE.

• ISSA 5000: standard globale sull'assurance di sostenibilità che può orientare la metodologia ove adottato o altrimenti applicabile.

È possibile completare il piano in meno di 15 mesi?

Sì, per un'entità più semplice o un sistema di rendicontazione maturo, ma il progetto dovrebbe preservare la sequenza e i controlli mediante simulazioni. La compressione aumenta la necessità di una governance decisa e di una gestione circoscritta dell'ambito.

La DMA dovrebbe essere completata prima dell'esercizio di rendicontazione?

Idealmente, la metodologia e gran parte della valutazione dovrebbero essere definite abbastanza presto da orientare la raccolta dei dati e i processi gestionali. La valutazione deve inoltre essere aggiornata per tenere conto di cambiamenti significativi e dei fatti finali.

Quando dovrebbe essere coinvolto il fornitore dell'assurance?

La selezione e la pianificazione dell'indipendenza dovrebbero iniziare al momento della mobilitazione. La direzione può discutere tempestivamente il calendario, le aspettative relative alle evidenze e gli aspetti logistici dell'incarico, mantenendo al contempo la responsabilità della metodologia, dei controlli e della relazione.

Abbiamo bisogno di un nuovo software nel primo ciclo?

Non necessariamente. Fogli di calcolo e repository controllati possono funzionare per un ambito limitato, ma l'organizzazione ha comunque bisogno di definizioni, controllo degli accessi, gestione delle versioni, collegamenti alle evidenze e revisione. Il software non sostituisce questi controlli.