Een GRI-rapport voorbereiden op externe assurance

Technische status: op bronnen gebaseerde publicatieversie; vóór publicatie is een definitieve technische beoordeling door een deskundige vereist.

GRI moedigt organisaties aan interne controles te gebruiken en externe assurance te verkrijgen om de geloofwaardigheid van duurzaamheidsrapportage te vergroten, maar GRI 1 maakt externe assurance niet tot een voorwaarde om in overeenstemming met GRI te rapporteren. Disclosure 2-5 vereist dat de organisatie haar beleid en praktijk voor het verkrijgen van externe assurance toelicht en, wanneer assurance is verkregen, het assurancerapport verstrekt en de scope, grondslag, standaarden, het niveau, beperkingen en de relatie met de dienstverlener beschrijft.

Readiness voor assurance heeft daarom twee doelstellingen. Het bereidt informatie voor die aan de hand van geschikte criteria kan worden getoetst en zorgt ervoor dat de openbare beschrijving van de assurance juist is. Het project moet het rapportagesysteem versterken, ook als de uiteindelijke opdracht slechts geselecteerde disclosures omvat.

Een verzoek om een voorstel waarin staat “geef assurance over ons GRI-rapport” is niet voldoende nauwkeurig. De organisatie moet eerst een memorandum over scope en criteria opstellen. Zij hoeft de procedures van de assuranceprofessional niet vooraf vast te leggen, maar moet wel het beoogde onderwerp definiëren en aangeven wat het management bereid is te onderbouwen.

GRI 1 beveelt een assurance-dienstverlener aan die onafhankelijk is van de organisatie, aantoonbaar competent is op het gebied van het onderwerp en assurancepraktijken, kwaliteitsbeheerst, systematisch, gedocumenteerd en op bewijsmateriaal gebaseerd werkt. ISSA 5000 is beroepsgroep-agnostisch: het kan worden toegepast door accountants en andere assurance-beoefenaars die voldoen aan de toepasselijke vereisten inzake ethiek, kwaliteitsmanagement en competentie.

Bij het inkoopproces moet het opdrachtteam worden beoordeeld, en niet alleen het merk van de onderneming. Vraag wie het werk zal leiden, welke specialisten GHG-, sociale, mensenrechten- of waardeketeninformatie zullen toetsen, hoe groepsonderdelen zullen worden bestreken, welke kwaliteitsbeoordeling van toepassing is en hoe bedreigingen voor de onafhankelijkheid worden geïdentificeerd en aangepakt.

Het overzicht van bewijsmateriaal is de centrale oplevering voor de gereedheid. Het splitst elke openbaarmaking binnen de reikwijdte op in criteria en koppelt elke gepubliceerde bewering aan bronbewijsmateriaal, bestanden met berekeningen of toelichtingen, verantwoordelijken voor controles en goedkeuringen. Het identificeert ook welk bewijsmateriaal openbaar is en welk bewijsmateriaal beperkt toegankelijk blijft.

Figuur 1. Assurance-gereedheid vereist traceerbaarheid van de gepubliceerde openbaarmaking naar criteria, berekening, bronbewijsmateriaal en controle.

Een berekening kan eenmaal numeriek correct zijn en toch moeilijk te waarborgen zijn als het proces niet wordt beheerst. Bij gereedheidstesten zou moeten worden nagegaan hoe gegevens worden geïnitieerd, vastgelegd, gewijzigd, geconsolideerd, beoordeeld en goedgekeurd. Belangrijke beheersmaatregelen zijn onder meer governance voor stamgegevens, toegangsrechten, validatie van eenheden, geautomatiseerde interfaces, beoordeling van handmatige journaalposten, aansluitingen op volledigheid, versiebeheer van factoren, goedkeuring van schattingen, variantieanalyse, beoordeling van herformuleringen en ondertekening voor publicatie.

Voor narratieve toelichtingen zijn beheersmaatregelen even belangrijk. Het team zou het beleid of de toezegging die gedurende de verslagperiode van kracht was, bewijs van implementatie, resultaten die worden gebruikt ter onderbouwing van beweringen over doeltreffendheid, notulen van governancevergaderingen, bewijs van belanghebbenden, beperkingen en goedkeuringen moeten bewaren. Een gepolijste alinea zonder bronspoor vormt een assurancerisico.

Selecteer een steekproef van toelichtingen met een hoog risico en volg deze van begin tot eind: van de brongebeurtenis via het systeem, de consolidatie, de berekening en de beoordeling tot de gepubliceerde tekst. Bij de walkthrough zouden de feitelijke opsteller en beoordelaar betrokken moeten zijn. Hierbij zouden handmatige overdrachtsmomenten, niet-vastgelegde oordeelsvorming, overschrijvingen in spreadsheets, inconsistente afbakeningen en bewijs dat pas achteraf wordt geproduceerd, moeten worden geïdentificeerd.

Assurancerisico ontstaat wanneer de organisatie geen volledig overzicht van impacts kan tonen, noch de rol van Sector Standards, de gebruikte bronnen om impacts te identificeren, de criteria voor significantie, hoe bewijs van belanghebbenden het oordeel heeft geïnformeerd, waarom drempelwaarden zijn geselecteerd en wie de definitieve materiële onderwerpen heeft goedgekeurd. Een matrix zonder het onderliggende bewijsspoor is zelden voldoende.

In de toelichtingen 2-1 tot en met 2-5 kunnen geen redenen voor weglating worden gebruikt. Veelvoorkomende problemen zijn inconsistentie tussen juridische entiteiten en de duurzaamheidsrapportagegrens, onverklaarde afwijkingen van financiële consolidatie, een verschil in rapportageperiode, niet-gedocumenteerde herzieningen en assuranceformuleringen die breder zijn dan het rapport van de assuranceprofessional. Toelichtingen over werknemers en governance leiden ook tot uitdagingen bij definities tussen systemen.

Generieke beschrijvingen van beleid zijn niet voldoende. De bewijsmatrix moet daadwerkelijke en potentiële impacts, beleid of toezeggingen, acties, het volgen van de doeltreffendheid, betrokkenheid van belanghebbenden en de manier waarop geleerde lessen worden verwerkt omvatten. Claims over doeltreffendheid vereisen bewijs van resultaten of een zorgvuldige formulering van beperkingen. Activiteiten zoals gegeven trainingen of uitgevoerde audits bewijzen op zichzelf niet dat impacts zijn verbeterd.

Veelvoorkomende bevindingen hebben betrekking op de rapportagegrens, definities, eenheden, de bron van factoren, schattingen, volledigheid, wijzigingen in methodologie, herberekening van het basisjaar, inconsistente vergelijkende cijfers en het ontbreken van aansluiting op operationele of financiële systemen. Bij maatstaven voor de waardeketen zal de assuranceprofessional vaak de gegevenskwaliteit van leveranciers, steekproeftrekking en extrapolatie ter discussie stellen.

Een proefbeoordeling moet plaatsvinden terwijl er nog tijd is om het verslag te wijzigen en de onderbouwing te versterken. Test een representatieve mix van kwantitatieve maatstaven met een hoog risico, narratieve toelichtingen van het management, schattingen, groepsonderdelen en webverwijzingen. Bevindingen moeten worden vastgelegd met ernst, de betrokken openbaarmaking, criterium, lacune in de onderbouwing, eigenaar, vervaldatum en geaccepteerde oplossing.

Niet elk probleem vereist meer tekst. De juiste oplossing kan zijn een beheersingsmaatregel te verbeteren, een getal te corrigeren, een bewering te beperken, een beperking toe te lichten, een afbakening te herzien, een reden voor weglating toe te voegen of niet-onderbouwde bewoordingen te verwijderen. De verantwoordelijke voor de rapportage moet één register van bevindingen bijhouden, zodat de assuranceprofessional, gegevenseigenaren, redacteur en eindgoedkeurder met dezelfde status werken.

ISSA 5000 vereist schriftelijke verklaringen over aangelegenheden zoals de verantwoordelijkheid van het management voor het opstellen van de duurzaamheidsinformatie, het verstrekken van alle relevante informatie en toegang, niet-gecorrigeerde afwijkingen, veronderstellingen, tekortkomingen in beheersingsmaatregelen, fraude of niet-naleving en gebeurtenissen na balansdatum, voor zover van toepassing. Verklaringen worden gedateerd zo dicht als praktisch haalbaar bij het assurancerapport.

Het definitieve verslag moet het gemakkelijk maken vast te stellen wat aan assurance is onderworpen, aan de hand van welke criteria, op welk niveau en voor welke periode. Openbaarmaking 2-5 moet een koppeling naar het assurancerapport bevatten en de relatie met de dienstverlener beschrijven. Het ontwerp van het verslag mag een geruststellende assurancebadge niet scheiden van de beperking in de reikwijdte of impliceren dat niet-geauditeerde narratieve informatie is gedekt.

Figuur 2. Illustratief plan voor gereedheid voor assurance in tien weken.

Het gereedheidsteam verwijdert eerst de ambigue frase “assurance over het duurzaamheidsrapport” uit het concept. Het stelt een tabel op met de reikwijdte per maatstaf, stemt personeelsgegevens af op de consolidatiegrens van HR, documenteert de marktgebaseerde en locatiegebaseerde methoden voor Scope 2, test bewijsmateriaal van afvalverwerkers en scheidt geldelijke bijdragen van programmaresultaten. Een proefbeoordeling brengt aan het licht dat twee gemeenschapsmaatstaven waren gebaseerd op schattingen van projectteams zonder bewaard gebleven onderbouwing. Het management verkrijgt het bewijsmateriaal of verwijdert de maatstaven uit de assurance-reikwijdte en licht de beperking toe.

Bij publicatie verwijst het rapport naar de conclusie van de professional, identificeert het de geselecteerde informatie en het niveau van limited assurance, en maakt het duidelijk dat het materialiteitsproces en andere narratieve disclosures niet waren opgenomen. Het project stelt ook een plan voor Jaar 2 op om assurance alleen uit te breiden nadat het bewijsmateriaal voor GRI 3-3 en de beheersingsmaatregelen voor de waardeketen voldoende zijn ontwikkeld.

Zet het bevindingenlogboek na publicatie om in het beheersingsplan voor de volgende rapportagecyclus. Volg terugkerende kwesties per informatieverschaffing, grondoorzaak en verantwoordelijke; bewaar het definitieve onderbouwingspakket; en bepaal of de assurance-reikwijdte moet worden uitgebreid, stabiel moet blijven of moet worden beperkt. Een volwassen assuranceprogramma groeit mee met de betrouwbaarheid van het rapportagesysteem, niet met de ambities van het rapportontwerp.

De assuranceaanbieder mag bepaalde werkzaamheden ter voorbereiding uitvoeren wanneer de toepasselijke ethische en onafhankelijkheidsvereisten dit toestaan en de werkzaamheden geen onbeheerst risico van zelfbeoordeling of een andere bedreiging veroorzaken. Definieer de diensten en rollen vóór de benoeming, beoordeel waarborgen en houd het management verantwoordelijk voor beslissingen, onderbouwing en voorbereiding.

Verklaringen van het management ondersteunen een assuranceopdracht, maar vervangen de onderliggende onderbouwing, gegevensbeheersingsmaatregelen of herstelmaatregelen niet. Zij moeten de verantwoordelijkheid van het management, volledigheid, methoden, aannames en bekende beperkingen bevestigen, terwijl onopgeloste hiaten in de onderbouwing bevindingen blijven die gevolgen kunnen hebben voor de reikwijdte of conclusie van de opdracht.