Interne beheersing van duurzaamheidsinformatie volgens IFRS: een praktisch raamwerk

Een op finance afgestemd raamwerk voor interne beheersing voor het opstellen van betrouwbare informatieverschaffingen volgens IFRS S1 en IFRS S2, zonder te doen alsof financiële informatie en duurzaamheidsinformatie identiek zijn.

Een duurzaamheidsrapport kan volledig lijken en toch afhankelijk zijn van kwetsbare processen: spreadsheets zonder beheersing, onduidelijke definities van maatstaven, handmatig gekopieerde leveranciersgegevens, veronderstellingen die afwijken van de financiële planning, een managementbeoordeling die geen bewijs achterlaat en informatieverschaffingen die uit meerdere versies zijn samengesteld. Deze zwakke punten worden niet opgelost door een laatste goedkeuring toe te voegen. Het systeem moet in staat zijn herhaaldelijk betrouwbare informatie te produceren, fouten of vooringenomenheid te detecteren en bewijs te bewaren van de manier waarop oordelen tot stand zijn gekomen.

De nauwste operationele analogie is de financiële afsluiting—niet omdat duurzaamheidsinformatie identiek is aan boekhoudkundige informatie, maar omdat de discipline overdraagbaar is. Beide hebben een beheerst toepassingsgebied, een afsluitingsdatum, consolidatie, aansluitingen, beoordeling, beheer van uitzonderingen en autorisatie nodig. Rapportage over duurzaamheid brengt eigen risico’s met zich mee: gegevens uit de waardeketen, schattingen, wetenschappelijke methodologieën, externe factoren, scenario’s, toekomstgerichte informatie en narratieve beweringen over governance of effectiviteit.

Intern beheersingskader afgestemd op financiële verslaggeving

De vijf COSO-componenten kunnen duurzaamheidsbeheersingsmaatregelen structureren, terwijl de disciplines van de jaarafsluiting op het gebied van afbakening, cut-off, consolidatie, aansluiting, beoordeling en goedkeuring een operationele ruggengraat bieden.

De COSO-publicatie uit 2023 Achieving Effective Internal Control over Sustainability Reporting past de vijf componenten en 17 principes van het Internal Control—Integrated Framework uit 2013 toe op duurzaamheidsinformatie. De publicatie is uitdrukkelijk niet-gezaghebbend en interpretatief. Zij is bruikbaar als organisatiemodel, maar een entiteit moet de beheersingsdoelstellingen, verantwoordelijken en onderbouwing afstemmen op haar verslaggevingsrisico's, rechtsgebied, volwassenheid en reikwijdte van de assurance.

Beheersingsmaatregelen moeten aansluiten op een duidelijke rapportagedoelstelling. Zonder die doelstelling stellen teams vaak lange controlelijsten op die activiteit aantonen, maar het risico niet adresseren. Voor IFRS S1/S2 kunnen de beheersingsdoelstellingen worden georganiseerd rond de kenmerken en vereisten van de informatieverschaffing.

De beheersingsomgeving bepaalt of afzonderlijke beheersingsmaatregelen blijven werken wanneer de druk toeneemt. Duurzaamheidsrapportage omvat vaak functies die niet aan één verantwoordelijke rapporteren. Het bestuur kan toezicht houden op de rapportage, financiën kan verantwoordelijk zijn voor publicatie, duurzaamheid kan verantwoordelijk zijn voor de methodologie, operations kan verantwoordelijk zijn voor gegevens en IT kan verantwoordelijk zijn voor systemen. Zonder expliciete bevoegdheid en verantwoordingsplicht blijven er hiaten tussen functies bestaan.

Toezicht door bestuur en commissies: bepaal welk orgaan toezicht houdt op duurzaamheidsgerelateerde financiële toelichtingen, materiële oordelen, significante tekortkomingen en de uiteindelijke rapportagebewering.

Verantwoordelijkheid van de directie: wijs een met name genoemde leidinggevende aan die verantwoordelijk is voor het rapportagesysteem, en niet alleen voor het uiteindelijke document.

Rapportagebeleid: documenteer het raamwerk, de reikwijdte, de rapporterende entiteit, de hiërarchie van standaarden, terminologie, het materialiteitsproces, het gebruik van schattingen, verwachtingen ten aanzien van onderbouwing en de goedkeuringsroute.

Competentie: beoordeel of verantwoordelijken en beoordelaars beschikken over de technische, sectorale, financiële, klimaat-, gegevens- en beheersingsvaardigheden die voor hun verantwoordelijkheden vereist zijn.

Integriteit en kritische beoordeling: verbied niet-onderbouwde beweringen, verborgen gegevenshiaten en ongemerkte wijzigingen in methoden; creëer escalatieroutes die beoordelaars beschermen tegen druk door deadlines.

Verantwoordingsplicht: neem de werking van beheersingsmaatregelen en herstelmaatregelen op in doelstellingen voor functies, certificeringen bij de afsluiting en governance-rapportage.

Een gegevenswoordenboek is het equivalent van een rapportagegrootboek. Het voorkomt dat één metrieknaam binnen de groep meerdere betekenissen krijgt en geeft beheersingsmaatregelen een stabiel object om te testen. Het woordenboek moet kwantitatieve en narratieve velden omvatten. Zo is “Frequentie van toezicht door het bestuur” een gecontroleerd toelichtingsveld, net zoals “Scope 2 locatiegebaseerde emissies” een gecontroleerde metriek is.

Het gegevenswoordenboek definieert wat de informatie betekent; het bewijsregister laat zien wat het gerapporteerde feit ondersteunt. Eén item kan verschillende bewijstypen hebben: brongegevens, methodologie, berekening, beoordeling en goedkeuring door de governance. Het register moet op claims zijn gebaseerd en niet uitsluitend per afdeling of bestandsnaam zijn georganiseerd.

Een klein team kan niet altijd elke taak scheiden, maar het moet de meest ingrijpende beslissingen wel scheiden. De persoon die een maatstaf opstelt of wijzigt, mag niet de enige persoon zijn die de methode en het eindresultaat goedkeurt. Waar volledige scheiding niet uitvoerbaar is, moet een compenserende beoordeling worden uitgevoerd door iemand met passende deskundigheid en bevoegdheid.

Reconciliaties zetten “verbonden informatie” om van een redactioneel principe in een operationele beheersmaatregel. Ze mogen niet beperkt blijven tot het overeenstemmen van totalen. Het team moet grenzen, definities, perioden, valuta, aannames en toelichtingen afstemmen in de duurzaamheidsinformatie, de financiële overzichten, de managementrapportage en externe communicatie.

Veel duurzaamheidsinformatie is afhankelijk van modellen in plaats van directe meting. Voorbeelden zijn Scope 3-emissies, gefinancierde emissies, klimaatscenario’s, blootstelling van activa, vermeden emissies, schattingen van het personeelsbestand en verwachte financiële effecten. De governance van modellen moet proportioneel zijn, maar moet dezelfde kernvragen behandelen: doel, eigenaarschap, input, aannames, logica, validatie, wijziging, toegang en beperkingen.

Beheersingscyclus van data naar toelichting

Beheersingsmaatregelen moeten werkzaam zijn vanaf de definitie en verzameling van gegevens tot en met transformatie, beoordeling, het opstellen van de toelichting, goedkeuring door governance, publicatie en herstelmaatregelen na afsluiting.

Beheersingsmaatregelen voor de toelichting moeten zowel de cijfers als de betekenis beschermen. Een kwantitatief correcte maatstaf kan nog steeds misleidend zijn als de afbakening, methode, onzekerheid of vergelijkende verandering wordt weggelaten. Een narratief kan technisch elegant zijn, maar niet door bewijs worden ondersteund. Het beoordelingsproces moet daarom bevestiging door de data-eigenaar, beoordeling van het raamwerk, beoordeling van consistentie door Finance, beoordeling van juridische aspecten en claims en goedkeuring door governance combineren.

Verklaringen van het management zijn geen vervanging voor ander bewijsmateriaal, maar kunnen de verantwoordingscyclus sluiten. Het proces voor het verkrijgen van verklaringen zou specifiek moeten zijn voor het rapportagesysteem en ondertekend moeten worden door personen die de relevante informatie beheersen. Het kan een bevestiging omvatten dat gegevenspopulaties volledig zijn, methoden en wijzigingen zijn toegelicht, bekende fraude of fouten zijn gerapporteerd, bekende gebeurtenissen na de verslagperiode in aanmerking zijn genomen en geen materieel bewijsmateriaal is achtergehouden.

Gebruik verklaringen op meerdere niveaus: gegevenseigenaar, bedrijfsonderdeel, functioneel leidinggevende en groepsrapportage.

Koppel elke verklaring aan geïdentificeerde verantwoordelijkheden en beheersmaatregelen voor de verslagperiode.

Vermeld bekende uitzonderingen in plaats van eigenaren te vragen een onrealistische onvoorwaardelijke verklaring te ondertekenen.

Escaleer tegenstrijdigheden tussen verklaringen en ander bewijsmateriaal.

Bewaar de definitieve set verklaringen bij het vrijgave- en assurancebewijspakket.

Een proces voor tekortkomingen zou onderscheid moeten maken tussen een geïsoleerde lacune in het bewijsmateriaal, een tekortkoming in het ontwerp van een beheersmaatregel en een materieel rapportagerisico. Bij de beoordeling van de ernst moet rekening worden gehouden met de waarschijnlijkheid en omvang van een mogelijke onjuiste weergave of weglating, het belang van de getroffen toelichting, de alomvattendheid van het proces en de vraag of compenserende beheersmaatregelen bestaan. De terminologie die wordt gebruikt voor tekortkomingen in financiële beheersmaatregelen kan worden aangepast, maar de organisatie zou haar eigen escalatiedrempels duidelijk moeten definiëren.

De groep stelt eerst een gegevenswoordenboek op en wijst stabiele kengetal-ID's toe. Vervolgens rangschikt de groep de kengetallen naar risico en selecteert zij belangrijke beheersingsmaatregelen voor de groepsafbakening, factoren, schattingen en wijzigingen in methodologie. Finance is eigenaar van de geconsolideerde rapportagekalender; duurzaamheid is eigenaar van technische methoden; operations zijn eigenaar van brongegevens; en beoordelaars zijn gescheiden van opstellers. Kwartaalproefdraaien brengt aan het licht dat één regio een andere veiligheidsnoemer gebruikt en dat logistieke Scope 3-gegevens drie maanden achterlopen.

In plaats van de verschillen te verbergen, definieert de groep de goedgekeurde noemer, herziet zij het vergelijkende cijfer waar passend, documenteert zij het beleid voor achterstanden en onzekerheid, en stelt zij een herstelplan op voor tijdigere gegevens van leveranciers. Het definitieve rapport wordt ondersteund door afstemmingen en verklaringen van eigenaars. Het proces is niet “volledig geautomatiseerd”, maar het is beheerst, herhaalbaar en kan aan assurance worden onderworpen.

Een duurzaamheidsgegevenswoordenboek moet elk kwantitatief en narratief veld voorzien van een stabiele identificatie, definitie, rapportagebasis, eenheid, afbakening, periode, methode, bron, eigenaar, beoordelaar, status van schatting, beheersingsmaatregelen, locatie in de informatieverschaffing en wijzigingshistorie. Het voorkomt dat één metrieknaam verschillende betekenissen krijgt en biedt beheersingsmaatregelen een stabiel object om te testen.

Spreadsheets voor Scope 3 moeten als modellen worden beheerst: definieer het doel, de eigenaar, invoergegevens, aannames, logica, validatie, toegang, versie wijzigingen en beperkingen. Vergrendel de berekeningslogica, bewaar bewijs van bronnen en factoren, scheid voorbereiding van beoordeling, stem afbakeningen en totalen af en documenteer schattingen en uitzonderingen.

Stem afbakeningen, definities, perioden, valuta’s, aannames en narratieven af tussen duurzaamheidsinformatieverschaffing, financiële overzichten, managementrapportage en externe communicatie. Stem voor GHG en energie ook populaties van faciliteiten, facturen, activiteitsgegevens, emissiefactoren en totalen af; bewaar gedocumenteerde verschillen en wijzigingen in factoren en leg de goedkeuring door de financiële functie vast.

Maak eerst onderscheid tussen een geïsoleerd bewijstekort, een tekortkoming in het ontwerp van beheersingsmaatregelen en een materieel verslaggevingsrisico, en beoordeel vervolgens de ernst aan de hand van een mogelijke afwijking, de getroffen informatieverschaffing, de reikwijdte en compenserende beheersingsmaatregelen. Corrigeer of beperk het huidige probleem, analyseer de hoofdoorzaak, escaleer belangrijke aangelegenheden, herstel het proces of systeem, test de effectiviteit opnieuw en monitor herhaling.

Een geloofwaardig raamwerk voor interne beheersing wordt niet gemeten aan de hand van het aantal beheersingsmaatregelen. Het wordt gemeten aan de hand van de vraag of het systeem materiële tekortkomingen in de verslaggeving voorkomt of detecteert, bewijsmateriaal bewaart en tijdige correctie mogelijk maakt. Pas financiële discipline toe waar die past, voeg duurzaamheidspecifieke beheersingsmaatregelen toe waar die niet volstaat en organiseer alles rond de informatie die gebruikers van IFRS S1/S2 geacht worden te ontvangen.