Eerste ESRS-rapportagecyclus: een projectplan van 15 maanden voor ondernemingen en groepen

Opgesteld in Brits Engels als een Knowledge Card Package voor professionals: antwoord, toelichting, toepassing, bewijs, verbanden en publicatielaag.

Een volwassen financiële afsluiting steunt op beleid, systemen, verantwoordelijken, aansluitingen en governance die gedurende het hele jaar al functioneren. Bij duurzaamheidsrapportage voor de eerste keer ontbreekt deze infrastructuur vaak. Data kunnen zich bevinden in HR-platforms, spreadsheets, locatiesystemen, inkooptools, risicoregisters, klachtenkanalen en bij externe dienstverleners. Narratieve toelichtingen kunnen afhankelijk zijn van bestuursstukken, strategische besluiten, stakeholderbetrokkenheid en bewijs uit de waardeketen.

Een plan van 15 maanden creëert tijd om het proces vóór de wettelijke afsluiting te testen. Het maakt het ook mogelijk dat de organisatie problemen met definities, grenzen en beheersingsmaatregelen corrigeert terwijl er nog tijd is om betere data te verzamelen. Het plan kan voor een eenvoudige entiteit worden ingekort of voor een complexe groep worden verlengd, maar de volgorde moet gecontroleerd blijven.

De projectsponsor moet een korte mobilisatienotitie goedkeuren met daarin:

• juridische entiteiten en groepsstructuur;

• verwachte CSRD-reikwijdte per jurisdictie en rapportageperiode;

• of een vrijstelling voor een moederonderneming of een andere vrijstelling wordt overwogen;

• de verwachte toepasselijke ESRS-editie en de overgangscontingentie;

• publicatiedatum van het bestuursverslag en lokale indieningsdata;

• assuranceverlener, nationaal assurancekader en onafhankelijkheidsbeperkingen;

• tijdschema voor de afsluiting van de financiële staten;

• talen, vereisten voor digitale tagging en strategie voor opname door verwijzing;

• eerdere duurzaamheidsverslagen, GRI- of andere datasets die voor hergebruik beschikbaar zijn;

• bekende overnames, desinvesteringen, reorganisaties of systeemwijzigingen.

Vanaf boekjaren die beginnen op of na 1 januari 2027 is de gewijzigde EU-reikwijdte in het algemeen van toepassing op ondernemingen die zowel een netto-omzet van EUR450 miljoen als gemiddeld 1,000 werknemers overschrijden, met inbegrip van het geconsolideerde niveau waar van toepassing. De overgangstoepassing voor 2025-2026 kan afhangen van het gebruik door lidstaten van de toegestane afwijking. Het project moet daarom gebruikmaken van een memorandum over de juridische reikwijdte, en niet van de informele aanname “we vallen waarschijnlijk binnen de reikwijdte”.

De maandlabels zijn relatief. Een groep met een vroege deadline voor het jaarverslag moet mogelijk vóór het rapportagejaar beginnen. Een gedecentraliseerde groep kan ook een extra pilotcyclus nodig hebben voor inzendingen van locaties en dochterondernemingen.

Deze werkstroom valt gezamenlijk onder juridische zaken, financiën en duurzaamheidsrapportage. De werkstroom moet antwoord geven op de volgende vragen:

• Welke rapporterende entiteit stelt de individuele of geconsolideerde duurzaamheidsverklaring op?

• Welke dochterondernemingen zijn opgenomen binnen de financiële consolidatiekring?

• Hoe wordt voor elke maatstaf omgegaan met geassocieerde deelnemingen, gezamenlijke overeenkomsten, geleasede activa en andere relaties?

• Welke upstream- en downstreaminformatie uit de waardeketen is relevant?

• Welke nationale implementatieregels, vrijstellingen en assurancevereisten zijn van toepassing?

• Welke ESRS-editie is juridisch van kracht voor de periode?

• Hoe zal het project reageren als de herziene ESRS tijdens de implementatie in werking treedt?

De belangrijkste output is een grenskaart, niet alleen een juridisch memorandum. Deze moet elke juridische entiteit en elke categorie in de waardeketen koppelen aan gegevenseigenaren, systemen, rapportageverplichtingen en uitsluitingen.

Kritieke controle

Elke wijziging in de groepsstructuur, verslagperiode of editie van de standaard leidt tot een gedocumenteerde effectbeoordeling van materialiteit, datapunten, methoden, vergelijkende cijfers, assurance en rapporttekst.

Het project vereist een duidelijke scheiding tussen opstelling, beoordeling en goedkeuring. Een praktisch model omvat:

• bestuursorgaan of toezichthoudend orgaan: eindverantwoordelijk toezicht op en goedkeuring van het managementrapport;

• audit-, assurance- of duurzaamheidscomité: gedetailleerde kritische beoordeling van proces, controles, materialiteit en bevindingen;

• uitvoerend stuurgroep: reikwijdte, middelen, functieoverschrijdende besluiten en escalatie van kwesties;

• programmadirecteur: geïntegreerde planning, afhankelijkheden en bewijs van voltooiing;

• technisch rapportageverantwoordelijke: interpretatie van ESRS, disclosurematrix en redactie;

• verantwoordelijke voor gegevens en controles: gegevenswoordenboek, berekeningen, controles en bewijsmateriaal;

• thema-eigenaren: beleid, acties, maatstaven, doelstellingen en toelichtend bewijsmateriaal;

• team juridische zaken/privacy: juridische reikwijdte, claims, vertrouwelijkheid en persoonsgegevens;

• financiën en risico: verbondenheid, financiële effecten, consolidatie en controles;

• interne audit: onafhankelijke gereedheidsbeoordeling waar passend;

• assuranceverlener: onafhankelijke opdracht, niet de ontwerper van de controles van het management.

De stuurgroep moet een beslislogboek goedkeuren waarin de kwestie, opties, bronbasis, verantwoordelijke, goedkeurder, datum en het effect op disclosures worden geïdentificeerd.

De DMA ligt op het kritieke pad omdat deze de materiële onderwerpen, IRO's en een groot deel van de disclosurearchitectuur bepaalt. Een eerste cyclus mag de materialiteitsconclusie niet uitstellen tot het rapport wordt opgesteld.

Een onderbouwd DMA-dossier omvat:

1. analyse van bedrijfsmodel, strategie, geografie, sector en waardeketen;

2. een volledig IRO-universum en gecontroleerde taxonomie;

3. bronnen van bewijsmateriaal en input van belanghebbenden;

4. criteria voor impactmaterialiteit en financiële materialiteit;

5. beoordelingen van ernst, waarschijnlijkheid en tijdshorizon;

6. drempelwaarden of kwalitatieve beslisregels en gevoeligheidsanalyse;

7. kritische beoordeling door het management en goedkeuring door governance;

8. wijzigingen ten opzichte van eerdere beoordelingen;

9. koppelingen met rapporteerbare onderwerpen en entiteitsspecifieke informatie;

10. onopgeloste beperkingen en verbeteracties.

Risico op het kritieke pad

Als de DMA te laat is, kunnen gegevenseigenaren niet weten welke thematische maatstaven, beleidsmaatregelen en disclosures over acties vereist zullen zijn. Het project verzamelt dan te veel brede ESG-gegevens of ontdekt materiële lacunes na het einde van het boekjaar.

De disclosurematrix verbindt:

• materiële IRO's en onderwerpen;

• DR's, datapunten en AR's;

• verantwoordelijke en beoordelaar;

• bronsysteem of toelichtend bewijsmateriaal;

• methodologie, eenheid, periode en grens;

• berekenings- en consolidatiebestand;

• toepasselijke verlichting, schatting of weglating;

• rapportlocatie en kruisverwijzing;

• controle- en assurancebewijsmateriaal;

• status, kwestie en ondertekening.

Het gegevenswoordenboek specificeert vervolgens elk kwantitatief en toelichtend datapunt. Het moet versiebeheerd zijn en worden gebruikt door software, spreadsheets, instructies en lijsten met assuranceverzoeken. Een afzonderlijk bewijsmateriaalregister legt de feitelijke bestanden, goedkeuringen en bewaarstatus vast.

Risicovolle items die als eerste proefgedraaid moeten worden

Geef prioriteit aan datapunten met een of meer van deze kenmerken:

• gegevens uit de waardeketen of externe dienstverleners;

• meerdere bronsystemen en handmatige transformaties;

• schattingen, proxies of modellen;

• financiële effecten en koppelingen met financiële overzichten;

• broeikasgasinventaris en Scope 3;

• personeelsgroepen met privacybeperkingen;

• informatie over incidenten, klachten of mensenrechten;

• nieuwe basiswaarden, doelstellingen of herzieningen;

• entiteitsspecifieke maatstaven;

• significante oordeelsvorming door het management.

Een eerste rapportagecyclus heeft baat bij twee proefruns vóór de definitieve afsluiting.

Proefrun 1 - ontwerptest

Gebruik gegevens over een deel van het jaar of van het voorgaande jaar om definities, grenzen, formules, bewijsmateriaal en consolidatie te testen. Het doel is niet een perfect getal te publiceren; het doel is ontwerpfouten bloot te leggen.

Proefrun 2 - werkingstest

Gebruik gegevens over het jaar tot heden en verlang van verantwoordelijken dat zij de beoogde controles uitvoeren. Bewijsmateriaal uit steekproeven moet worden opgeslagen zoals dat voor assurance zal gebeuren. Het team moet de voorbereidingstijd en knelpunten volgen.

Definitieve afsluiting

De duurzaamheidsafsluiting moet beschikken over:

• een afsluitdatum en beleid voor late aanpassingen;

• vergrendelde invoersjablonen of een systeemworkflow;

• certificering door entiteit en locatie;

• versiebeheer van berekeningen;

• aansluitingen en variantieanalyse;

• beoordeling en goedkeuring van schattingen;

• beoordeling van gebeurtenissen na balansdatum;

• proces voor verklaringen van het management;

• afsluiting van kwesties en definitieve ondertekening.

De afsluitkalender moet worden geïntegreerd met de financiële afsluiting, omdat financiële effecten, personeelsaantallen, omzetdelers, wijzigingen in de consolidatie en goedkeuring van het rapport afhankelijk zijn van financiële gegevens.

De redactie moet beginnen met goedgekeurd bewijsmateriaal, niet met algemene proza. Voor elk materieel onderwerp moet het team het volgende verbinden:

• materiële IRO's;

• governance en strategie;

• beleidsmaatregelen;

• acties en middelen;

• maatstaven en doelstellingen;

• actuele en verwachte financiële effecten waar vereist;

• beperkingen en schattingen;

• koppelingen met financiële overzichten en andere inhoud van het managementrapport.

De technisch redacteur moet een claimregister bijhouden. Elke significante uitspraak wordt geclassificeerd als een vereiste, feitelijke uitspraak, schatting, oordeelsvorming door het management, toekomstig plan of interpretatie en aan bewijsmateriaal gekoppeld.

Uitdaging bij groepsredactie

Een geconsolideerde verklaring mag niet lezen als een lijst van initiatieven van dochterondernemingen. Zij moet het beeld op groepsniveau uitleggen en daarbij uitsplitsen waar aggregatie significante variaties zou verhullen. Bijdragen van dochterondernemingen vereisen een gemeenschappelijke terminologie en een goedkeuringsproces.

De assuranceverlener is geen vervanging voor controles door het management. Vóór het veldwerk moet het management kunnen aantonen:

• hoe reikwijdte en materialiteit zijn goedgekeurd;

• wie verantwoordelijk is voor elke disclosure;

• hoe gegevens volledig en accuraat zijn;

• hoe schattingen en modellen worden beheerst;

• hoe beweringen in de toelichting worden onderbouwd;

• hoe wijzigingen en herzieningen worden beheerst;

• hoe bevindingen worden geëscaleerd;

• hoe toezicht door het bestuur werkt;

• hoe de gepubliceerde verklaring aansluit op het gecontroleerde concept.

De 2023 ESRS schrijven risicobeheer en interne controles voor onder GOV-5; de herziene 2026 ESRS verplaatsen dit naar GOV-4 en vereenvoudigen de hoofd-disclosure tot de reikwijdte, belangrijkste kenmerken en componenten van de processen en systemen. De vastgestelde AR benadrukt specifiek de volledigheid en integriteit van gegevens en de nauwkeurigheid van schattingen als relevante rapportagerisico's.

Figuur 2. Kritiek pad en beslispoorten voor de eerste ESRS-cyclus. Educatieve visual met huisstijl door London Reporting Academy.

De volgende bandbreedtes zijn uitvoeringsaannames voor een middelcomplexe groep, geen ESRS-vereisten.

Een groep met gebrekkige bronsystemen, veel jurisdicties of uitgebreide waardeketenmetrics kan aanzienlijk meer capaciteit vereisen. Een eenvoudigere entiteit met volwassen GRI- en financiële-beheersingsinfrastructuur kan minder nodig hebben.

Capaciteitstoets

Ga na of het plan het werk financiert dat buiten het centrale duurzaamheidsteam plaatsvindt: voorbereiding van locatiegegevens, extracts uit HR en inkoop, juridische beoordeling, aansluiting door finance, beheer van onderbouwing, vertaling, digitale tagging en bestuursmateriaal. Projecten met onvoldoende middelen lijken vaak voldoende bemand totdat maand 10 aanbreekt, wanneer alle werkstromen samenkomen.

Profiel. Een groep heeft 32 juridische entiteiten, 18 productielocaties, activiteiten in negen landen en een eerder GRI-rapport. De groep verwacht zes materiële ESRS-onderwerpen en plant publicatie vier maanden na het einde van het boekjaar.

Uitgangspositie. Klimaat- en personeelsgegevens zijn beschikbaar, maar de afbakeningen van locaties verschillen. Scope 3 gebruikt een model van een consultant met beperkte interne verantwoordelijkheid. Sociale gegevens over leveranciers zijn gebaseerd op vragenlijsten. Narratieve beleidsinformatie is in meerdere versies opgeslagen. Er bestaat geen geïntegreerd register van onderbouwing.

Planbesluit. De groep begint 11 maanden vóór het einde van het boekjaar en gebruikt de eerste vier maanden voor reikwijdte, governance en DMA. De groep geeft prioriteit aan proefruns voor broeikasgasemissies, personeelsgroepen, water, afval en informatieverschaffing over werknemers in de waardeketen. Het register van onderbouwing en het datadictionary worden geïmplementeerd vóór de eerste gegevensuitvraag.

Kritieke bevinding. De eerste proefrun laat zien dat drie locaties contractors als werknemers rapporteren en dat certificaten voor hernieuwbare elektriciteit niet aan verbruiksperioden zijn gekoppeld. Omdat het probleem in maand 8 wordt gevonden, corrigeert de groep definities en onderbouwing vóór de definitieve afsluiting.

Uitkomst. Tijdens de assurancewerkzaamheden worden nog steeds bevindingen geïdentificeerd, maar deze hebben voornamelijk betrekking op de kwaliteit van de documentatie en niet op fundamentele afbakeningsfouten. De groep publiceert en vertaalt de bevindingen naar een herstelprogramma van 90 dagen.

1. Starten na het einde van het boekjaar. Begin vroeg genoeg om de gegevensverzameling en governance gedurende de verslagperiode te beïnvloeden.

2. De DMA behandelen als een presentatie van een consultant. Bewaar onderbouwing, methodologie, besluiten, kritische beoordeling en goedkeuring in een gecontroleerd dossier.

3. Datapunten toewijzen voordat de grenzen zijn gedefinieerd. Leg de specificaties van maatstaven vast voordat gegevens worden opgevraagd.

4. Alleen kwantitatieve gegevens verzamelen. Narratief beleid, acties, governance en beperkingen vereisen onderbouwing en beheersmaatregelen.

5. Wachten tot de assurance tekortkomingen in de beheersmaatregelen identificeert. Voer eerst generale repetities door het management en interne kritische beoordelingen uit.

6. Financiële effecten overlaten aan het duurzaamheidsteam. Integreer vanaf het begin de verantwoordelijken voor finance, risico, strategie en accounting.

7. Ervan uitgaan dat eerdere GRI-gegevens rechtstreeks kunnen worden overgenomen. Stem materialiteit, afbakening, definities, periode en informatieverschaffingsvereisten op elkaar af.

8. De doorlooptijd voor bestuur en publicatie onderschatten. Reserveer bij de mobilisatie tijdvakken voor commissies, bestuur, vertaling, tagging en integratie in het bestuursverslag.

9. Kwesties per e-mail afsluiten. Gebruik een kwest register met verantwoordelijke, ernst, onderbouwing, beoordelaar en goedgekeurde oplossing.

10. Publiceren voordat het onderbouwingsarchief is vergrendeld. Bevries de definitieve rapportversie, berekeningen, goedkeuringen en bronbestanden gezamenlijk.

• Boekhoudrichtlijn zoals gewijzigd bij Richtlijn (EU) 2026/470: juridische reikwijdte en rapportageverplichting.

• ESRS 1: rapporterende onderneming, waardeketen, dubbele materialiteit, informatiematerialiteit, voorbereiding, presentatie en vrijstellingen.

• ESRS 2: governance, strategie, IRO-proces, beleid, acties, maatstaven, doelstellingen en rapportagebeheersmaatregelen.

• EFRAG IG 1, IG 2 en IG 3: niet-gezaghebbende implementatieondersteuning voor de ESRS 2023.

• Richtsnoeren van CEAOB voor limited assurance en toepasselijke nationale standaarden: assuranceplanning gedurende de overgangsperiode in de EU.

• ISSA 5000: mondiale standaard voor assurance van duurzaamheidsinformatie die de methodologie kan informeren waar deze is overgenomen of anderszins van toepassing is.

Kan het plan in minder dan 15 maanden worden voltooid?

Ja, voor een eenvoudiger entiteit of een volwassen rapportagesysteem, maar het project moet de volgorde en beheersmaatregelen voor generale repetities behouden. Verkorting vergroot de behoefte aan daadkrachtige governance en een strakke beheersing van de reikwijdte.

Moet de DMA vóór het verslagjaar worden voltooid?

Idealiter zijn de methodologie en een groot deel van de beoordeling vroeg genoeg gereed om de gegevensverzameling en managementprocessen vorm te geven. De beoordeling moet ook worden bijgewerkt voor significante veranderingen en definitieve feiten.

Wanneer moet de assuranceverlener worden betrokken?

Inkoop en onafhankelijkheidsplanning moeten bij de mobilisatie beginnen. Het management kan vroegtijdig de planning, verwachtingen ten aanzien van onderbouwing en logistiek van de opdracht bespreken, terwijl het verantwoordelijk blijft voor de methodologie, beheersmaatregelen en het rapport.

Hebben we in de eerste cyclus nieuwe software nodig?

Niet noodzakelijk. Gecontroleerde spreadsheets en repositories kunnen werken voor een beperkte reikwijdte, maar de organisatie heeft nog steeds definities, toegangsbeheer, versiebeheer, koppelingen naar onderbouwing en beoordeling nodig. Software vervangt deze beheersmaatregelen niet.