Controlli interni sulle informative di sostenibilità IFRS: un quadro pratico

Un framework di controllo interno allineato alla finanza per produrre informative IFRS S1 e IFRS S2 affidabili, senza fingere che le informazioni finanziarie e quelle di sostenibilità siano identiche.

Un report di sostenibilità può apparire completo pur dipendendo da processi fragili: fogli di calcolo non controllati, definizioni ambigue delle metriche, dati dei fornitori copiati manualmente, assunzioni diverse da quelle della pianificazione finanziaria, revisioni della direzione che non lasciano evidenze e informative assemblate a partire da più versioni. Queste debolezze non si risolvono aggiungendo una firma finale di approvazione. Il sistema deve essere in grado di produrre ripetutamente informazioni affidabili, rilevare errori o distorsioni e conservare le evidenze di come sono stati formulati i giudizi.

L'analogia operativa più vicina è la chiusura contabile, non perché le informazioni di sostenibilità siano identiche a quelle contabili, ma perché la disciplina è trasferibile. Entrambe necessitano di un perimetro controllato, un calendario di reporting, titolarità dei dati, cut-off, consolidamento, riconciliazioni, revisione, gestione delle eccezioni e autorizzazione. Il reporting di sostenibilità aggiunge rischi propri: dati della catena del valore, stime, metodologie scientifiche, fattori esterni, scenari, informazioni previsionali e dichiarazioni narrative sulla governance o sull'efficacia.

Quadro di controllo interno allineato alla funzione finanziaria

I cinque componenti del COSO possono organizzare i controlli di sostenibilità, mentre le discipline della chiusura di fine esercizio relative ad ambito, cut-off, consolidamento, riconciliazione, riesame e approvazione finale forniscono una struttura operativa.

La pubblicazione del COSO del 2023 Achieving Effective Internal Control over Sustainability Reporting applica i cinque componenti e i 17 principi dell’Internal Control—Integrated Framework del 2013 alle informazioni sulla sostenibilità. La pubblicazione è esplicitamente non autorevole e interpretativa. È utile come modello organizzativo, ma un’entità dovrebbe adattare gli obiettivi di controllo, i responsabili e le evidenze ai propri rischi di rendicontazione, alla propria giurisdizione, al proprio livello di maturità e all’ambito dell’assurance.

I controlli dovrebbero rispondere a un chiaro obiettivo di rendicontazione. In assenza di tale obiettivo, i team spesso producono lunghe checklist che dimostrano l'attività ma non affrontano il rischio. Per IFRS S1/S2, gli obiettivi di controllo possono essere organizzati intorno alle caratteristiche e ai requisiti delle informative.

L’ambiente di controllo determina se i singoli controlli opereranno quando la pressione aumenta. La rendicontazione di sostenibilità spesso coinvolge funzioni che non fanno capo a un unico responsabile. Il consiglio di amministrazione può supervisionare la rendicontazione, la funzione finanziaria può essere responsabile della pubblicazione, la funzione sostenibilità può essere responsabile della metodologia, le operations possono essere responsabili dei dati e l’IT può essere responsabile dei sistemi. In assenza di autorità e responsabilità esplicite, si creano lacune tra le funzioni.

Supervisione da parte del consiglio e dei comitati: definire quale organo supervisiona le informative finanziarie relative alla sostenibilità, i giudizi rilevanti, le carenze significative e la dichiarazione finale di rendicontazione.

Responsabilità dei dirigenti: nominare un dirigente indicato per nome, responsabile del sistema di rendicontazione, non soltanto del documento finale.

Politica di rendicontazione: documentare il framework, l’ambito, l’entità che redige la rendicontazione, la gerarchia degli standard, la terminologia, il processo di determinazione della rilevanza, l’uso delle stime, le aspettative in materia di evidenze e il percorso di approvazione.

Competenza: valutare se i responsabili e i revisori possiedono le competenze tecniche, settoriali, finanziarie, climatiche, relative ai dati e ai controlli richieste dalle loro responsabilità.

Integrità e capacità di mettere in discussione: vietare dichiarazioni non supportate, lacune nei dati non dichiarate e modifiche silenziose dei metodi; creare percorsi di escalation che proteggano i revisori dalla pressione delle scadenze.

Responsabilità: includere le prestazioni dei controlli e le azioni correttive negli obiettivi dei ruoli, nelle attestazioni di chiusura e nella rendicontazione agli organi di governance.

Un dizionario dei dati è l’equivalente di un piano dei conti per la rendicontazione. Impedisce che un unico nome di metrica abbia diversi significati all’interno del gruppo e fornisce ai controlli un oggetto stabile da sottoporre a verifica. Il dizionario dovrebbe comprendere campi quantitativi e narrativi. Ad esempio, “Frequenza della supervisione da parte del consiglio” è un campo informativo soggetto a controllo, così come “emissioni di Scope 2 basate sulla localizzazione” è una metrica soggetta a controllo.

Il dizionario dei dati definisce il significato delle informazioni; il registro delle evidenze mostra cosa supporta il fatto riportato. Un singolo elemento può avere diversi tipi di evidenze: dati di origine, metodologia, calcolo, revisione e approvazione della governance. Il registro dovrebbe essere organizzato sulla base delle asserzioni, anziché soltanto per dipartimento o nome del file.

Un team di piccole dimensioni non può sempre separare ogni attività, ma dovrebbe separare le decisioni più rilevanti. La persona che crea o modifica una metrica non dovrebbe essere l'unica persona ad approvare il metodo e il risultato finale. Quando la segregazione completa è impraticabile, utilizzare una revisione compensativa da parte di una persona con competenze e autorità adeguate.

Le riconciliazioni trasformano le “informazioni connesse” da principio redazionale in un controllo operativo. Non dovrebbero limitarsi a verificare la concordanza dei totali. Il team deve riconciliare perimetri, definizioni, periodi, valute, assunzioni e narrazioni nell’ambito delle informative di sostenibilità, dei bilanci, della reportistica gestionale e delle comunicazioni esterne.

Molte informative di sostenibilità dipendono da modelli anziché da misurazioni dirette. Tra gli esempi figurano le emissioni di Scope 3, le emissioni finanziate, gli scenari climatici, l’esposizione degli attivi, le emissioni evitate, le stime relative alla forza lavoro e gli effetti finanziari previsti. La governance dei modelli dovrebbe essere proporzionata, ma dovrebbe affrontare le stesse domande fondamentali: finalità, titolarità, input, assunzioni, logica, convalida, modifiche, accesso e limitazioni.

Ciclo di vita del controllo dai dati all'informativa

I controlli dovrebbero operare dalla definizione e raccolta dei dati fino alla trasformazione, alla revisione, alla redazione dell'informativa, all'approvazione da parte degli organi di governance, alla pubblicazione e alla correzione successiva alla chiusura.

I controlli sull'informativa dovrebbero tutelare sia i numeri sia il significato. Una metrica quantitativamente corretta può comunque essere fuorviante se il perimetro, il metodo, l'incertezza o la variazione comparativa sono omessi. Una descrizione narrativa può essere tecnicamente elegante ma non supportata da evidenze. Il processo di revisione dovrebbe pertanto combinare la conferma del responsabile dei dati, la revisione rispetto al framework, la revisione della coerenza finanziaria, la revisione legale/delle dichiarazioni e l'approvazione da parte degli organi di governance.

Le attestazioni della direzione non sostituiscono altre evidenze, ma possono completare il circuito della responsabilità. Il processo di attestazione dovrebbe essere specifico per il sistema di reporting e firmato dalle persone che controllano le informazioni pertinenti. Può includere la conferma che gli insiemi di dati siano completi, che i metodi e le modifiche siano stati divulgati, che le frodi o gli errori noti siano stati segnalati, che gli eventi successivi rilevanti siano stati considerati e che nessuna evidenza rilevante sia stata omessa.

Utilizzare attestazioni a più livelli: responsabile dei dati, unità aziendale, dirigente funzionale e reporting di gruppo.

Collegare ciascuna attestazione alle responsabilità individuate e ai controlli del periodo di reporting.

Elencare le eccezioni note invece di chiedere ai responsabili di firmare una dichiarazione incondizionata irrealistica.

Portare all'attenzione le contraddizioni tra le attestazioni e le altre evidenze.

Conservare l'insieme finale delle attestazioni insieme al pacchetto di evidenze relativo alla pubblicazione e all'assurance.

Un processo relativo alle carenze dovrebbe distinguere una lacuna isolata nelle evidenze da un'inadeguatezza nella progettazione del controllo o da un rischio rilevante di reporting. La gravità dovrebbe considerare la probabilità e l'entità di una potenziale inesattezza od omissione, l'importanza dell'informativa interessata, la pervasività del processo e l'eventuale esistenza di controlli compensativi. La terminologia utilizzata per le carenze nei controlli finanziari può essere adattata, ma l'organizzazione dovrebbe definire chiaramente le proprie soglie di escalation.

Il gruppo crea innanzitutto un dizionario dei dati e assegna identificativi stabili alle metriche. Successivamente assegna un livello di rischio alle metriche e seleziona controlli chiave sul perimetro del gruppo, sui fattori, sulle stime e sulle modifiche metodologiche. La funzione Finanza è responsabile del calendario di reporting consolidato; la funzione Sostenibilità dei metodi tecnici; le operations dei dati di origine; e i revisori sono separati dai preparatori. Le simulazioni trimestrali rilevano che una regione utilizza un denominatore diverso per la sicurezza e che i dati logistici dello Scope 3 hanno un ritardo di tre mesi.

Anziché nascondere le differenze, il gruppo definisce il denominatore approvato, ridetermina il comparativo ove appropriato, documenta la politica sul ritardo e l'incertezza e crea un piano di rimedio per ottenere più tempestivamente i dati dei fornitori. Il report finale è supportato da riconciliazioni e attestazioni dei responsabili. Il processo non è “completamente automatizzato”, ma è controllato, ripetibile e idoneo a essere sottoposto ad assurance.

Un dizionario dei dati di sostenibilità dovrebbe attribuire a ogni campo quantitativo e narrativo un identificativo stabile, una definizione, una base di rendicontazione, un’unità, un perimetro, un periodo, un metodo, una fonte, un responsabile, un revisore, lo stato della stima, i controlli, la collocazione nell’informativa e la cronologia delle modifiche. Impedisce che un unico nome di metrica assuma significati diversi e fornisce ai controlli un oggetto stabile da sottoporre a test.

I fogli di calcolo relativi allo Scope 3 dovrebbero essere governati come modelli: occorre definirne lo scopo, il responsabile, gli input, le assunzioni, la logica, la convalida, l’accesso, le modifiche di versione e i limiti. Bloccare la logica di calcolo, conservare le evidenze relative alle fonti e ai fattori, separare la preparazione dalla revisione, riconciliare i perimetri e i totali e documentare le stime e le eccezioni.

Riconciliare perimetri, definizioni, periodi, valute, assunzioni e informazioni narrative tra l’informativa di sostenibilità, i bilanci, la reportistica direzionale e le comunicazioni esterne. Per i GHG e l’energia, riconciliare inoltre gli insiemi di impianti, le fatture, i dati di attività, i fattori di emissione e i totali; conservare le differenze documentate, le modifiche dei fattori e l’approvazione della funzione finanziaria.

Innanzitutto distinguere una lacuna isolata nelle evidenze da un’insufficienza nella progettazione dei controlli o da un rischio rilevante di rendicontazione, quindi valutare la gravità utilizzando l’errata rappresentazione potenziale, l’informativa interessata, la pervasività e i controlli compensativi. Correggere o contenere il problema attuale, analizzarne la causa profonda, sottoporre le questioni significative a escalation, correggere il processo o il sistema, ripetere i test di efficacia e monitorare il ripetersi del problema.

Un quadro credibile dei controlli interni non si misura in base al numero di controlli. Si misura in base al fatto che il sistema prevenga o rilevi carenze rilevanti nella rendicontazione, conservi le evidenze e consenta una correzione tempestiva. Applicate la disciplina finanziaria dove è appropriata, aggiungete controlli specifici per la sostenibilità dove non lo è e organizzate tutto intorno alle informazioni che gli utilizzatori di IFRS S1/S2 sono destinati a ricevere.