Dokumentacja niezbędna w procesie audytu ESG – co będzie przedmiotem zainteresowania audytora

Przygotowanie danych w zakresie wdrożenia raportowania zgodnie z ESRS i obowiązkowy audyt za 2024 r. nastręczają spółkom licznych trudności. Ich obawy związane są także z samym przebiegiem badania. Rodzą się pytania, na co audytor będzie zwracał uwagę i jak oceni dotychczasowe prace.

Ogólnie rzecz ujmując, sprawa sprowadza się do odpowiedzi na pytanie, czy ujawnienia zostały kompletnie opisane w zakresie wyznaczonym przepisami, zgodnie z prawdą i na podstawie odpowiednich danych źródłowych.

Jaki jest zakres dokumentacji niezbędnej do audytu? Jest on uzależniony od zakresu prac. Węższy zakres ma przegląd (ograniczona pewność), a szerszy badanie (racjonalna pewność).

Jednak niezależnie od ocenianych przez audytora zagadnień merytorycznych podstawową kwestią będzie dla niego zrozumienie, w jaki sposób jednostka zaprojektowała swój system zbierania danych do raportu, zrozumienie jednostki i jej systemu kontroli wewnętrznej.

Audytor będzie się skupiał przede wszystkim na dwóch zagadnieniach – oceni system kontroli wewnętrznej (tj. jak spółka zaprojektowała i zaimplementowała przepisy, przekładając je na procesy i procedury) oraz zgodność ujawnionych danych z przepisami (np. ESRS, taksonomia UE art. 8, standardy kalkulacji śladu węglowego). Z czasem trzecim obszarem jego zainteresowania będzie również potwierdzenie prawidłowości formy ESEF (oznaczenia ujawnień zgodne z taksonomią XBRL dla ESRS i art. 8).

Audyt bywa postrzegany jako sprawdzanie zgodności ujawnienia, z czym wiąże się kwestia śladu rewizyjnego, czyli wykazania konkretnych dokumentów źródłowych dotyczących ujawnień. Bardziej złożonym zagadnieniem jest jednak zaprezentowanie, w jaki sposób organizacja zaprojektowała system zbierania danych do raportu. W związku z tym można oczekiwać, że w przeglądzie SZR pojawią się pytania nie tylko o procesy biznesowe i segmenty, lecz także o system, proces i procedury. Audytor może też badać sprawę bardziej szczegółowo, głębiej wchodząc w zaprojektowane kontrole i je testować.

Co właściwie oznacza zrozumienie jednostki i systemu kontroli wewnętrznej? Umożliwia ono ocenę, w jakiej branży działa jednostka, jaka jest jej struktura, jak są zorganizowane jej łańcuchy wartości i dostaw, kim są jej interesariusze. Do rozeznania tych kwestii audytor będzie potrzebował wszelkich dokumentów, analiz, opisów metod i procesów, schematów prezentujących przepływ danych. Raportowanie ESRS wymaga od organizacji mapowania procesów i rozpoznania łańcucha wartości w celu odpowiedniego zaprojektowania metodologii identyfikacji ryzyk i szans oraz doboru kwestii istotnych. Dla płynności procesu audytu i pozytywnej oceny przejrzystości danych na pewno będzie korzystne skompletowanie takiej dokumentacji.

Na zaprojektowanie systemu zbierania danych zgodnego z wymogami informacyjnymi w zakresie ESG wpływają konkretne procesy biznesowe:

• Opracowanie przepływu informacji i zdefiniowanie spójnego systemu (jakie dane i w jakiej strukturze mają być zbierane w całej jednostce w przekroju spółek zależnych, segmentów i działów odpowiedzialnych za informacje ESG), opracowanie opisu procesów, schematów, procedur, instrukcji. Struktura przepływu powinna wynikać z systematyki wymagań informacyjnych ESRS.
• Opracowanie odpowiedzialności (role i funkcje są definiowane w ramach przepływu informacji, a w proces zbierania danych są wpisane funkcje kontroli i nadzoru, także oznaczanie statusu wprowadzonej informacji oraz to, kto i kiedy ją wprowadził, zatwierdził oraz opublikował).
• Zarządzanie uprawnieniami i dostępami (sposób zaprojektowania środowiska zbierania danych gwarantuje ich jakość i bezpieczeństwo).
• Zaprojektowanie mechanizmów zapewniających tworzenie śladu rewizyjnego (źródło danych, ID, nazwa, przypisanie do roli, data wprowadzenia informacji, weryfikacja, identyfikowanie zmian i ich kontrolowanie).
• Zaprojektowanie koordynacji procesu raportowania, zapewnienia spójności wytycznych i spójności formatu, nadzór nad terminowością, jakością danych i kompletnością ujawnień.

Ocena środowiska kontroli jest zarazem oceną kierownictwa spółki, jego podejścia do zaprojektowania całego procesu, zaangażowania adekwatnych nakładów finansowych i zasobów merytorycznych.

Inną kwestią jest dobór rozwiązań IT. Zaprojektowanie systemu zbierania danych jest powiązane z wyborem narzędzia do raportowania, więc jego wybór może mieć znaczenie dla audytora. System informatyczny ma inną specyfikę, a system bazujący na arkuszu kalkulacyjnym Excel inną. Narzędzia informatyczne to większe możliwości w zakresie dokumentowania zdarzeń. Zaprojektowanie workflow, approval flow bądź zarządzanie uprawnieniami może być niemożliwe poza system. Od systemu zależy również dalsza ocena podejścia do agregacji danych i zakresu możliwych kontroli spójności danych. Czasochłonność prac bywa więc przez audytorów uzależniana od wybranych przez organizacje narzędzi i metod pracy.

Co ocenia audytor? Zgodność zaprojektowania procesów odpowiednio do wymogów ujawnieniowych (zwłaszcza w zakresie oceny procesu podwójnej istotności), dokumentację dotyczącą przyjętej metodologii, założeń i procedur… Jak przebiegała realizacja procesu, jaki był jego harmonogram? Czy wysyłano ankiety, czy prowadzono bezpośrednie rozmowy? Jakie były kolejne etapy oceny prowadzącej do sporządzenia listy ryzyk i szans oraz kwestii istotnych? Jak zapewniono kompletność oceny i zintegrowanie z systemem zbierania i zarządzania data point.

Co do specyficznych ujawnień odpowiadających na kwestie istotne ESRS, kalkulacji śladu węglowego czy ujawnień z taksonomii UE art. 8, to najważniejszą wytyczną dla audytora jest ocena procesów prowadzących do prezentowanych ujawnień oraz oceny zgodności ujawnień z dokumentami źródłowymi. W związku z tym na każdym etapie kompletowania danych powinna być tworzona baza dokumentów źródłowych powiązanych z ujawnieniami.

Ujawnienia zawierające dane szacunkowe są szczególnym zagadnieniem i tu należy się spodziewać zwiększonego zainteresowania audytora. W systemie zbierania danych należy zaprojektować sposób pozyskiwania informacji o agregowanych danych zawierających szacunki i założenia leżące u ich podstaw.

Warto także mieć na uwadze, że zaprezentowanie założeń systemu zbierania danych i wykazanie weryfikowalności przepływu danych począwszy od źródła aż po wnioski finalne jest mocnym argumentem przemawiającym za usprawnianiem prac audytora.