Controlli interni per l’MRV negli EAU: completezza delle fonti, riconciliazioni, fattori, stime, approvazioni, audit trail, cybersicurezza e internal audit

La legge stabilisce il quadro dei risultati e delle responsabilità: le fonti designate misurano regolarmente le emissioni, preparano un inventario, rendicontano mediante i moduli richiesti, riducono le emissioni, conservano i dati e supportano la verifica dell’autorità. Non fornisce un manuale riga per riga dei controlli aziendali. La direzione deve quindi tradurre l’obbligo in obiettivi di controllo verificabili.

• Registro di entità e strutture con contabilità generale, elenco dei conti delle utenze e registro delle apparecchiature.

• Totali dei fornitori di carburante con contabilità fornitori e movimenti di magazzino.

• Fatture dell’elettricità con letture dei contatori, date di apertura e chiusura dei siti e prospetti dei locatori.

• Acquisti di refrigeranti e registri di manutenzione con carica e recupero delle apparecchiature.

• Subtotali dei dati di attività con intervalli di input nella cartella di calcolo.

• ID e versioni dei fattori nella cartella di lavoro con il registro dei fattori approvato.

• Emissioni finali per fonte e gas con modulo di presentazione e dichiarazione del verificatore.

• Totali dei periodi precedenti con registro delle rideterminazioni o delle modifiche metodologiche.

I fattori sono dati master, non testo copiato in una cella di formula. Ogni fattore necessita di un ID stabile, editore, edizione, area geografica, tecnologia, unità di numeratore e denominatore, base del potere calorifico, fonte GWP e periodo di efficacia. Le modifiche dovrebbero attivare una valutazione dell’impatto e una decisione approvata sull’eventuale ricalcolo dei dati comparativi.

Le stime dovrebbero indicare motivo, periodo coperto, fonte proxy, formula, incertezza o sensibilità, revisore e data di rimedio. Le celle delle formule dovrebbero essere protette, testate su casi noti e ricalcolate in modo indipendente per le fonti rilevanti.

• Il responsabile dei dati conferma la completezza delle fonti e spiega le anomalie.

• Il responsabile del metodo approva la gerarchia dei fattori, le formule e le deroghe.

• Il revisore finanziario o operativo esegue le riconciliazioni.

• Il revisore della sostenibilità consolida e sottopone a verifica critica classificazioni e stime.

• Il revisore legale controlla le dichiarazioni, le formulazioni rivolte all’autorità e le informazioni protette.

• La direzione approva l’attestazione finale e il pacchetto di presentazione.

• L’amministratore di sistema gestisce gli accessi ma non approva il risultato delle emissioni.

Mostrare la tracciabilità dei dati e le misure trasversali di cybersicurezza.

I controlli cyber non sono esposti come lista dettagliata nel Decreto-legge federale n. 11. Sono misure attuative per l’integrità e la disponibilità delle evidenze che la legge impone alle aziende di conservare e fornire. La progettazione dei controlli dovrebbe riflettere il profilo di rischio dell’azienda e i requisiti applicabili negli EAU in materia di cybersicurezza e privacy.

L’internal audit può valutare se il quadro dei controlli è progettato in modo appropriato e ha operato durante il periodo di rendicontazione. Può testare campioni, osservare le riconciliazioni, esaminare i registri degli accessi e monitorare le azioni correttive. Non dovrebbe preparare i dati che successivamente sottopone ad audit, formulare l’attestazione legale della direzione o presentare il proprio lavoro come verifica dell’autorità.

«Ogni flusso di dati rilevante è riconciliato con una popolazione operativa o finanziaria indipendente. I fattori di emissione sono selezionati da un registro approvato e soggetto a controllo di versione. Le stime e le modifiche delle formule richiedono un riesame documentato. Il pacchetto finale viene bloccato dopo l’approvazione tecnica, legale e della direzione, e la versione presentata e la ricevuta sono conservate con il fascicolo delle evidenze quinquennale.»

• Esistono descrizioni dei controlli, ma non sono assegnati né un responsabile né evidenze.

• Finanza e sostenibilità utilizzano elenchi di siti diversi.

• Gli URL dei fattori sono conservati senza scaricare le relative edizioni.

• Le formule sono riesaminate visivamente anziché ricalcolate.

• Le stime vengono sovrascritte quando arrivano i dati effettivi, perdendo la traccia originaria.

• L’accesso amministrativo è condiviso.

• Il verificatore riceve una versione diversa da quella della direzione.

• L’internal audit testa soltanto il totale finale, non la tracciabilità dalla fonte alla presentazione.

• Si presume che il backup sia riuscito senza eseguire un test di ripristino.

• Una correzione tardiva viene effettuata senza valutarne l’effetto sul report depositato o sulla notifica all’autorità.

Eseguire riconciliazioni della popolazione delle fonti e dei flussi di dati: entità, strutture, conti e apparecchiature con le anagrafiche; carburante con fatture, contabilità generale e scorte; elettricità e raffrescamento con contatori e conti; refrigeranti con apparecchiature e movimenti dei gas; e fattori con il registro approvato. Riconciliare i totali finali con la cartella di lavoro approvata, il modulo di presentazione e la ricevuta, e i periodi precedenti con il registro delle rideterminazioni o delle modifiche metodologiche.

L’audit trail dovrebbe identificare chi ha preparato e riesaminato i dati, la modifica, le evidenze e la versione finale approvata per ogni flusso di dati rilevante. Conservare identificatori stabili di fonti e fattori, input e formule di calcolo, stime, approvazioni, presentazione bloccata, ricevuta, cronologia delle correzioni e registri degli accessi.

Utilizzare accessi basati sui ruoli e il privilegio minimo, autenticazione a più fattori, registri immutabili delle modifiche e approvazioni, cifratura e trasferimento sicuro, backup e ripristino testati, risposta agli incidenti e conservazione legale. Sono misure attuative per l’integrità e la disponibilità delle evidenze conservate, non controlli dettagliati prescritti dal Decreto-legge.