Пропуски и конфиденциальная информация в ESRS: коммерческий ущерб, коммерческая тайна и конфиденциальность

Примечание о техническом статусе. Описанная здесь архитектура пропусков содержится в Директиве (EU) 2026/470 и пересмотренном приложении ESRS, принятом как C(2026) 5010 final 3 июля 2026 года. Текст в окончательной редакции Официального журнала и применимое национальное законодательство остаются обязательными объектами для проверки обновлений.

Примечание по применению. Озабоченность вопросами конфиденциальности автоматически не создаёт основания для допустимого пропуска в ESRS. Отчитывающийся субъект должен использовать наименее ограничительный способ обращения с информацией, который защищает законный интерес и одновременно обеспечивает достижение цели раскрытия. Может потребоваться консультация по юридическим вопросам, конфиденциальности, конкуренции, безопасности и подтверждению достоверности.

В процессе подготовки отчётности команды часто помещают любой неудобный элемент в одну колонку «конфиденциально». В этой колонке могут находиться действительно защищённые коммерческие тайны, имена клиентов, персональная информация о жалобах, неподтверждённые прогнозы, неполные расчёты и плохие результаты. Это не одна и та же проблема, и для неё не применяется один и тот же подход к отражению в отчётности.

Первый контрольный шаг — классификация. Определите, является ли проблема:

проблемой, связанной с коммерческим ущербом;

коммерческой тайной, соответствующей юридическим критериям, или информацией с грифом секретности;

ограничением, установленным законодательством в отношении конфиденциальности, защиты данных или безопасности;

обычной договорной конфиденциальностью, которой можно управлять посредством агрегации или редактирования; или

отсутствующей, неопределённой или неподтверждённой информацией.

Только первые три группы могут служить основанием для допустимого пропуска в соответствии с указанными категориями ESRS, и для каждой из них по-прежнему требуются соблюдение условий, раскрытие информации о применении исключения и ежегодный пересмотр. С обычной конфиденциальностью, как правило, следует обращаться посредством тщательного представления информации. В отношении отсутствующих данных применяются положения об оценке и послаблениях, а не правила о пропусках.

Рисунок 1. Применяйте наименее ограничительный способ обращения с информацией, который сохраняет и законную защиту, и цель раскрытия.

1. Полное раскрытие

Используйте полное раскрытие, если информация является существенной, юридические ограничения не применяются, а потенциальный недостаток представляет собой обычную прозрачность, а не серьёзный ущерб. Плохие результаты, невыполненная цель, существенный инцидент или сложная зависимость не становятся конфиденциальными только потому, что руководство предпочло бы не акцентировать на них внимание.

2. Агрегация

Агрегация обычно является первым защитным методом. Она может объединять информацию по географическому признаку, направлению деятельности, категории отношений, периоду или типу риска, чтобы раскрытие оставалось полезным и при этом не выявляло контрагента, цену единицы продукции, уязвимость объекта или идентифицируемое лицо.

Агрегация не должна скрывать существенные различия. ESRS 1 требует, чтобы уровень агрегации и дезагрегации отражал значительные вариации и не допускал сокрытия существенной информации. Глобальный показатель, скрывающий серьёзное воздействие на конкретном объекте, может не обеспечивать достижение цели, даже если он защищает название объекта. Решением может быть раскрытие на региональном уровне или уровне категории с чётким объяснением контекста.

3. Редактирование или анонимизация

Редактирование удаляет ограниченный защищённый элемент, сохраняя окружающую информацию. Анонимизация особенно актуальна для случаев рассмотрения жалоб, данных о персонале, затронутых сообществах и потребителях. Она должна предотвращать повторную идентификацию, в том числе посредством сочетаний местонахождения, должностной роли, даты инцидента и небольшой численности населения.

В раскрытии можно описать характер, серьёзность, меры реагирования и статус инцидента, не идентифицируя заявителя, поставщика, технологию или клиента. Досье с доказательствами может оставаться более подробным и предоставляться при контролируемом доступе, чем публичный отчёт.

4. Допустимый пропуск

Пункт 100 допускает пропуск для определённых категорий. Категория коммерческого ущерба особенно требовательна. Она доступна только в исключительных случаях, когда раскрытие серьёзно нанесло бы ущерб коммерческому положению, пропуск не препятствует справедливому и сбалансированному пониманию, а отчитывающийся субъект определил, что невозможно достичь цели раскрытия посредством другого представления информации, например агрегации.

Применение режима коммерческой тайны зависит от юридического определения в Директиве (EU) 2016/943. Не каждый конфиденциальный коммерческий факт является коммерческой тайной. У отчитывающегося субъекта должны иметься доказательства того, что информация является секретной, имеет коммерческую ценность вследствие своей секретности и в отношении неё принимаются разумные меры для сохранения её секретности.

Информация с грифом секретности и иные юридические ограничения, ограничения в отношении конфиденциальности или безопасности требуют документированного правового основания. Команда по подготовке отчётности не должна создавать неофициальную категорию «безопасность» без проверки специалистами.

5. Подход к отсутствующим данным

Недоступные, неполные, непроверенные или неподтверждённые данные не подлежат автоматическому пропуску в соответствии с пунктом 100. Отчитывающийся субъект должен оценить возможность использования оценок, заменяющих показателей, частичного охвата, количественных послаблений, качественной информации, исправления ошибок или обновлений после окончания отчётного периода. В публичном объяснении следует указать ограничение и план улучшений, а не создавать впечатление, что раскрытие запрещено законом.

Пропуск по причине коммерческого ущерба должен соответствовать всем четырём критериям:

Серьёзный ущерб. Вероятный вред является существенным и достоверным, а не представляет собой обычный дискомфорт или смущение, вызванные конкуренцией.

Справедливое и сбалансированное понимание. Пропуск не препятствует пользователям понять развитие, результаты деятельности, положение или существенные риски и воздействия отчитывающегося субъекта.

Отсутствие менее ограничительного способа представления. Агрегация, диапазоны, отложенная детализация, описание на уровне категории или иной способ представления не могут обеспечить достижение цели раскрытия без причинения серьёзного ущерба.

Указание на точку данных и ежегодный пересмотр. Отчитывающийся субъект указывает, что исключение было применено к каждой пропущенной точке данных, и пересматривает ситуацию на каждую отчётную дату.

Примеры, которые могут потребовать анализа, включают чувствительные планы приобретения или выбытия, переговоры, запатентованные технологии перехода, неанонсированный выход продуктов и коммерческие допущения, существенные для финансовых показателей. При анализе следует отличать информацию, уже отражённую в признанных финансовых величинах, от стратегических подробностей, преждевременное раскрытие которых создаёт конкретный вред.

Пересмотренное положение об исключении раскрытия охватывает информацию, соответствующую интеллектуальному капиталу, интеллектуальной собственности, ноу-хау, технологической информации или результатам инновационной деятельности, которые квалифицируются как коммерческая тайна. Полезное юридическое досье включает:

описание информации и ее владельца;

обоснование того, почему она не является общедоступной или легкодоступной;

коммерческую ценность, обусловленную сохранением ее в тайне;

контроли доступа, соглашения о неразглашении, технические меры защиты и другие разумные меры;

точный показатель и затронутую цель раскрытия;

рассмотренный альтернативный способ представления;

дату утверждения и повторной оценки.

Исключение не следует использовать для удаления всей информации о плане перехода, воздействии продукта или инновационной программе. Отчитывающаяся организация во многих случаях может раскрыть цель, управление, ресурсы, ожидаемый эффект, зависимость и неопределенность, не раскрывая защищенную формулу или техническую конструкцию.

Ограничения конфиденциальности особенно важны в случаях, когда публичный отчет может позволить идентифицировать физическое лицо по небольшим группам или сведениям об инцидентах. Принципы защиты данных поддерживают минимизацию и анонимизацию, однако они не служат автоматическим основанием для исключения всей информации о персонале или жалобах. Публичное раскрытие следует строить с учетом информационной потребности: распространенности, характера, серьезности, доступа к средствам правовой защиты, корректирующих действий и тенденции.

Безопасность может касаться физических лиц, объектов, критической инфраструктуры, оборонных возможностей, киберугроз и коммерческой безопасности юридических лиц. В досье следует указать применимое правовое или связанное с безопасностью основание и не раскрывать конфиденциальные сведения в публичном объяснении исключения.

Прилагаемая книга Excel содержит РЕЕСТР ИСКЛЮЧЕНИЙ. Полная запись должна включать:

Рисунок 2. Для разных информационных проблем требуются разные публичные объяснения и средства контроля доказательств.

Контекст. Horizon Mobility готовит раскрытия информации о климате, рабочей силе и потребителях. Четыре вопроса переданы на рассмотрение как «конфиденциальные».

Вопрос A — не объявленный план переоборудования предприятия

План перехода включает переоборудование объекта, в отношении которого ведутся активные коммерческие переговоры. Раскрытие информации о местоположении, сроках и цене контракта может подорвать переговоры. Horizon проверяет агрегирование на региональном уровне, диапазон капитальных затрат и описательное изложение. Компания приходит к выводу, что описание на региональном уровне и диапазон позволяют достичь цели раскрытия без серьезного ущерба. Подход: агрегирование, а не исключение из раскрытия.

Вопрос B — запатентованная химия аккумуляторной батареи

Климатическое мероприятие зависит от новой химии, защищенной посредством контролируемого ноу-хау. Точная формула соответствует критериям коммерческой тайны. Horizon раскрывает информацию о мероприятии, управлении, ожидаемом влиянии на производство, зависимости от капитала и неопределенности, но не раскрывает формулу. Компания указывает, что исключение для коммерческой тайны было применено к соответствующему техническому показателю. Подход: разрешенное исключение защищенной детали из раскрытия.

Вопрос C — расследование домогательств в команде из пяти человек

Публикация местоположения, должности, даты и результата позволила бы идентифицировать заявителя. Horizon агрегирует инцидент с более широкой совокупностью и описывает расследование, меры по устранению последствий и совершенствование средств контроля. Детали, лежащие в основе информации, остаются в закрытом файле доказательств. Подход: обезличивание и агрегирование.

Вопрос D — отсутствующие данные об инцидентах у поставщиков

У компании отсутствует полная информация от косвенных поставщиков. Ограничения конфиденциальности или законодательства отсутствуют. Horizon использует оценку на основе риска, объясняет охват и неопределенность и устанавливает план совершенствования. Подход: оценка и раскрытие пробелов в данных, а не исключение из раскрытия.

Этот пример демонстрирует, почему единой маркировки «конфиденциально» недостаточно. По трем вопросам информация раскрывается посредством альтернативного представления; только для защищенной технической детали используется исключение из раскрытия.

Почему это работает. В нем указывается исключение, ограничивается его область применения, сохраняется окружающая информация, полезная для принятия решений, фиксируются альтернативы и управление, а также принимается обязательство проводить ежегодную переоценку.

Что необходимо адаптировать. Юридическая классификация, точный показатель, альтернативные методы, утверждающее лицо и оставшаяся раскрытая информация должны соответствовать фактам, относящимся к предприятию.

Шаг 1. Определите точный показатель и цель раскрытия

Не рассматривайте целый раздел абстрактно. Отметьте конкретный текст, число, допущение или доказательство, раскрытие которых оспаривается.

Шаг 2. Классифицируйте проблему

Используйте таксономию пяти вариантов обращения. Если проблема связана с обычной конфиденциальностью или отсутствующими данными, направьте ее на агрегирование/редактирование или применение средств контроля оценки, а не в реестр исключений из раскрытия.

Шаг 3. Проверьте менее ограничительные альтернативы

Подготовьте как минимум один альтернативный вариант раскрытия: формулировку на уровне категории, диапазон, неденежное количество, отложенную детализацию, обезличенный пример, перекрестную ссылку или частичное редактирование. Оцените, обеспечивает ли он по-прежнему достоверное и сбалансированное понимание.

Шаг 4. Получите специализированную проверку

Коммерческий ущерб требует коммерческих и юридических доказательств. Заявления о коммерческой тайне требуют юридической классификации. Вопросы конфиденциальности и безопасности требуют участия соответствующих специалистов. Ответственные за подготовку отчетности не должны принимать такие решения единолично.

Шаг 5. Утвердите на уровне управления

О существенных исключениях из раскрытия следует информировать комитет по раскрытию информации и, если это существенно для утверждения отчета об устойчивом развитии, соответствующий орган управления или надзорный орган. В записи об утверждении следует указать, какая информация остается раскрытой.

Шаг 6. Обеспечьте публичное уведомление и согласованность связанной информации

Убедитесь, что уведомление о показателе включено. Проверьте, что перекрестные ссылки, целевые показатели, финансовые эффекты, описания рисков и заявление о соблюдении требований не противоречат исключению из раскрытия.

Шаг 7. Проводите переоценку ежегодно и при наступлении инициирующих событий

Проводите переоценку, если переговоры завершены, информация стала общедоступной, юридическая классификация изменилась, риск безопасности устранен, совокупность стала достаточно большой для безопасного агрегирования или выпущены новые руководства по отчетности.

Можно ли не указывать наименования клиентов или поставщиков?

Зачастую полезное раскрытие можно представить на уровне категории, географии или концентрации без указания наименований. Необходимость или возможность сокрытия наименования зависит от существенности, договорных и правовых ограничений, коммерческого ущерба и цели раскрытия. Удаление наименования не служит основанием для удаления лежащего в основе воздействия или риска.

Достаточно ли соглашения о неразглашении для применения исключения ESRS, допускающего нераскрытие?

Не автоматически. Соглашение о неразглашении может служить значимым доказательством конфиденциальности, однако предприятию по-прежнему необходима категория, предусмотренная пунктом 100, и соблюдение её условий, либо оно должно использовать агрегирование/редактирование, соответствующее цели раскрытия.

Можно ли не раскрывать ожидаемые финансовые эффекты из-за коммерческого ущерба?

Руководство по применению ESRS устанавливает, что положения о нераскрытии применяются к ожидаемым финансовым эффектам. Предприятие по-прежнему должно соблюдать соответствующие условия нераскрытия и сохранять окружающую информацию, полезную для принятия решений.

Как следует раскрывать использование исключения, не раскрывая секрет?

Укажите, что исключение было использовано для соответствующего элемента данных, и, если это безопасно, определите категорию и охват. Не описывайте охраняемую информацию настолько подробно, чтобы такое уведомление лишало защиту смысла.

Является ли основанием для нераскрытия формулировка «не одобрено советом директоров»?

Нет. Статус проекта документа может повлиять на то, является ли информация надёжной или представляет собой план, но сам по себе не является исключением в отношении конфиденциальности. Предприятию следует оценить существенность, статус оценки, управление и применимое требование к раскрытию.