CSRD-audit: wat controleert de externe verificateur?

Een van de meest onderscheidende elementen van de CSRD ten opzichte van vroegere vrijwillige duurzaamheidsrapportage is de verplichte externe verificatie. Waar bedrijven vroeger konden volstaan met een zelfverklaring over hun duurzaamheidsprestaties, schrijft de CSRD voor dat een geaccrediteerde derde partij de kwaliteit en betrouwbaarheid van het rapport beoordeelt. Voor veel organisaties is dit nieuw terrein. Dit artikel legt uit wat de verificateur precies doet, welke normen hij hanteert en hoe u uw organisatie hierop voorbereidt.

Wat is het doel van externe verificatie?

Externe verificatie — in het Engels aangeduid als 'assurance' — heeft als doel de geloofwaardigheid van duurzaamheidsinformatie te vergroten voor de gebruikers ervan: investeerders, financiers, klanten, medewerkers en de samenleving. De verificateur beoordeelt of de informatie in het duurzaamheidsverslag voldoet aan de vereisten van de ESRS en of de gepresenteerde data betrouwbaar en consistent zijn.

Er zijn twee niveaus van zekerheid:

• Beperkte zekerheid (limited assurance): De verificateur concludeert dat hem niets is gebleken dat erop wijst dat het rapport onjuistheden van betekenis bevat. Dit is het verplichte startniveau onder de CSRD in de eerste rapportagejaren.
• Redelijke zekerheid (reasonable assurance): Een grondigere toetsing waarbij de verificateur positief bevestigt dat het rapport in alle materiële opzichten juist is. De Europese Commissie streeft ernaar dit niveau in de toekomst verplicht te stellen.

Wat controleert de verificateur precies?

De verificateur toetst het duurzaamheidsverslag op meerdere dimensies. De belangrijkste aandachtsgebieden zijn:

1. Conformiteit met ESRS: Worden alle verplichte datapoints gerapporteerd die voortvloeien uit de materialiteitsanalyse? Klopt de opbouw van het rapport met de ESRS-structuur?
2. Kwaliteit van de materialiteitsanalyse: Is de dubbele materialiteitsanalyse methodologisch deugdelijk uitgevoerd? Zijn relevante stakeholders betrokken en zijn de keuzes transparant verantwoord?
3. Nauwkeurigheid van kwantitatieve data: Zijn de gerapporteerde KPIs (CO2-emissies, energieverbruik, personeelsdata) herleidbaar tot betrouwbare bronnen? Zijn berekeningsmodellen en emissiefactoren correct toegepast?
4. Interne consistentie: Sluit de informatie in het duurzaamheidsverslag aan op de financiele rapportage? Spreken de twee onderdelen van het bestuursverslag elkaar niet tegen?
5. Transparantie over onzekerheden: Zijn schattingen, aannames en dataleemtes voldoende gedocumenteerd en gemotiveerd?
6. Governanceprocessen: Is de duurzaamheidsrapportage verankerd in de interne controlesystemen van de organisatie?

Wie mag de verificatie uitvoeren?

De CSRD staat verificatie toe door twee typen partijen:

• Wettelijk auditors (registeraccountants): In Nederland zijn dit registeraccountants (RA) die zijn aangesloten bij de NBA en die een aanvullende opleiding duurzaamheidsassurance hebben gevolgd. Grote accountantskantoren zoals de Big Four bieden deze dienst aan.
• Onafhankelijke assurance-aanbieders: Gespecialiseerde duurzaamheidsverificateurs die niet vallen onder het wettelijke accountantsregime, maar die wel aan specifieke accreditatie-eisen moeten voldoen. De exacte kaders hiervoor worden per lidstaat vastgesteld.

In de praktijk zullen de meeste grote bedrijven in eerste instantie hun bestaande accountantskantoor inschakelen voor CSRD-verificatie, omdat dit de integratie met de financiele audit vereenvoudigt. Overweeg echter ook gespecialiseerde duurzaamheidsverificateurs als u diepgaande expertise op specifieke ESRS-themas nodig heeft.

Hoe bereidt u uw organisatie voor op de audit?

Een succesvolle CSRD-verificatie begint lang voor de daadwerkelijke audit. De volgende maatregelen helpen u goed voorbereid te zijn:

• Documenteer alles: Houd een audittrail bij van alle databronnen, berekeningsmodellen en methodologische keuzes. De verificateur moet elke gerapporteerde waarde kunnen herleiden tot een betrouwbare bron.
• Betrek de verificateur vroeg: Plan al in het begin van het rapportageproces een kennismakingsgesprek met uw verificateur. Zo kan hij of zij vroegtijdig knelpunten signaleren en vermijdt u verrassingen aan het einde.
• Stel interne controls in: Zorg voor vier-ogen-controles op kritische datastromen, vergelijkbaar met de interne controles die u al heeft voor financiele data.
• Train betrokken medewerkers: Iedereen die data aanlevert voor het duurzaamheidsverslag moet begrijpen waarom nauwkeurigheid en traceerbaarheid essentieel zijn.
• Voer een interne pre-audit uit: Laat een interne of externe partij het concept-rapport kritisch doorlopen voordat de formele verificatie begint.

Wat zijn de meest voorkomende bevindingen?

Op basis van ervaringen met vroege CSRD-adopters en vrijwillige duurzaamheidsassurance zijn dit de meest voorkomende knelpunten die verificateurs signaleren: onvoldoende onderbouwing van de materialiteitsanalyse, ontbrekende of onvoldoende gedocumenteerde Scope 3-berekeningen, inconsistenties tussen het duurzaamheidsverslag en het financiele verslag, en het gebruik van berekeningsmodellen zonder vermelding van de gebruikte emissiefactoren of databronnen. Door deze aandachtspunten proactief aan te pakken, vermindert u het risico op kwalificerende opmerkingen of een negatief verificatieoordeel aanzienlijk.

Conclusie: De CSRD-audit is geen formaliteit — het is een inhoudelijke beoordeling van de kwaliteit van uw duurzaamheidsrapportage. Bereid u voor door tijdig samen te werken met uw verificateur, een robuuste interne controleomgeving op te zetten en alle databronnen zorgvuldig te documenteren. Zo maakt u van de verificatie een instrument dat het vertrouwen van uw stakeholders versterkt in plaats van een last die u snel wilt afronden.