ESG, en audit doet volop mee

In mijn vorige column, met de titel ‘Cybersecurityterreur’, ging ik een beetje los op een trend. Zou ik nu weer kunnen doen, want welke internal auditor heeft het niet over ESG? Ik kom niemand meer tegen die hier niet mee bezig is. Een hype dus. Maar naar mijn mening wel een hele mooie hype met veel kansen voor elke internal auditor.

Een groot deel van de bedrijven waar wij voor werken zal over 2024 conform de nieuwe European Sustainability Reporting Standards (ESRS) moeten rapporteren, en zo’n beetje de rest over 2025. Er zal een onafhankelijke auditopinie gegeven moeten worden; eerst met limited assurance en na een aantal jaren met reasonable assurance.

Stel nu dat het hiervoor genoemde nieuw voor je is. Heb je dan ergens de boot gemist? Ik denk eerlijk gezegd van wel. Ik zou mezelf afvragen hoe het kan dat ik dit niet wist. Want er komt iets groots op ons af. En het is voor elk wat wils. Houd je van richtlijnen, standaarden en veel details? Geweldig! Op 23 november zijn 339 pagina’s met 82 ‘disclose standards’ gepubliceerd. Heerlijk grasduinen in allerlei specifieke rapportagevereisten. Ben je meer van de IT? Ook geweldig: bergen aan KPI’s moeten worden geproduceerd en die komen uit systemen die misschien nog nooit geaudit zijn. Ben je meer van de auditconcepten? Eveneens top. Hoe gaan we deze kluif aanpakken? Gaan wij als internal auditors een pre-audit doen, lekker ouderwets steekproeven nemen, of gaan we met data-analyse de hele populatie analyseren? Gaan we voor assuranceopdrachten, of misschien wel voor een samenwerking met een onafhankelijke auditor?

En wellicht vind je dat de internal auditor ook adviseur is en zit je dicht op de tweede lijn. Dan heb je een geweldige kans om een bijdrage te leveren om tot een efficiënt control framework te komen voor al die nieuwe data die gerapporteerd moet worden in vast en zeker een aantal nieuwe rapportageprocessen.

ESG biedt sowieso kansen om met diverse verschillende domeinen binnen de organisatie samen te werken. De – hoop ik enkele – auditor die nog alleen naar financiële controls kijkt moet nu echt ook de operatie in. Zeker in het geval van productieondernemingen.

Ben je er nog bij? Duizelt het al? Het is heel leuk hoor, dat ESG-gebeuren. Even wat grasduinen in de standaarden en ga eens voor je organisatie na of onderstaande data voorhanden is tegen reasonable-assurancekwaliteit:
­

• The undertaking shall disclose the pollution-related targets it has adopted. (ESRS/E2-3.19).
• The undertaking shall disclose its resource use and circular economy actions and the resources allocated to their implementation. (ESRS/E5-2.17).
• The undertaking shall describe: (a) what action is planned or underway to prevent, mitigate or remediate material negative impacts on consumers and/or end-users (ESRS/S4-4.29).
• The disclosure under paragraph 31 shall include: (a) the average time the undertaking takes to pay an invoice from the date when the contractual or statutory term of payment starts to be calculated, in number of days (ESRS/G1-6.33).

De scherpe lezer merkt op dat het dus ook over rapporteren van cijfermatige doelstellingen gaat. Dat triggert mij natuurlijk. Moeten die cijfers dan SMART zijn? Hoe gaan we om met het geven van assurance als een bedrijf een onhaalbare doelstelling wil rapporteren? Accepteren aandeelhouders, klanten, medewerkers het als bepaalde doelstellingen niet gehaald worden? Gaan organisaties dan ook ‘waarschuwingen’ geven als ze mogelijk niet gehaald worden, zoals sommige ondernemingen winstwaarschuwingen geven?

Vragen, vragen, vragen en nog geen antwoorden. Nogmaals, superleuk dat ESG en het raakt ons als internal auditors in het hart van onze competenties. Was je nog niet aangehaakt en is het allemaal nieuw? Tja. Spel alle artikelen in dit nummer dan maar, en ga gewoon naar de EFRAG-website. Of je huurt natuurlijk een peperdure consultant in, dat kan ook.