Das nicht-finanzielle Interne Kontrollsystem als Grundlage einer verlässlichen Nachhaltigkeitsberichterstattung

Die in der ursprünglichen Form vom 05.01.2023 in Kraft getretene Corporate Sustainability Reporting Directive (CSRD) ersetzt die bisherige Non-Financial Reporting Directive (NFRD) und erweitert deren Anwendungsbereich und die Anforderungen an die Transparenz und Vergleichbarkeit der im Lagebericht offenzulegenden Nachhaltigkeitsinformationen erheblich. Diese Informationen umfassen im Wesentlichen Umwelt-, Sozial- und Arbeitnehmerbelange, Menschenrechte und Korruptionsbekämpfung.

Die am 26.02.2025 veröffentlichte sog. Omnibus-Initiative der EU-Kommission reduziert in diesem Zusammenhang den Anwenderkreis der CSRD deutlich. Künftig sollen insbesondere nur noch Unternehmen mit mehr als 1.000 Mitarbeitern - unabhängig davon, ob es sich um kapitalmarktorientierte Unternehmen handelt oder nicht - einer Berichtspflicht nach der CSRD unterliegen. Weiterhin sollen auch die Inhalte der Berichtspflichten verringert werden. Hier bleibt das weitere EU-Gesetzgebungsverfahren abzuwarten.

Die letztendlich verbleibenden, nach der CSRD berichtspflichtigen Unternehmen haben sich hinsichtlich ihrer Nachhaltigkeitsinformationen nach dem gegenwärtigen Gesetzentwurf der EU-Kommission einer Prüfung mit begrenzter Sicherheit zu unterziehen. Weiterhin haben sie konkrete Anforderungen an das Risiko Management System (RMS) sowie das Interne Kontrollsystem (IKS) zu erfüllen. Von besonderer Bedeutung dürften hierbei vor allem folgende Bereiche sein:

1. Angemessenheit und Wirksamkeit der internen Kontrollen
2. Vollständigkeit und Richtigkeit der erhobenen Daten
3. Nachvollziehbarkeit der Aggregationsprozesse
4. Validierung und Plausibilisierung der berichteten Informationen

Zur Gewährleistung einer adäquaten Überwachung („Governance“) bietet sich die Erweiterung des bestehenden IKS an. In diesem Kontext kann sichergestellt werden, dass notwendige Prozesse, Verantwortlichkeiten und Kontrollen zur Ermittlung einer verlässlichen Datengrundlage für die nachhaltigkeitsbezogene Berichterstattung bereitgestellt werden.

In Hinblick auf die gängigen IKS-Komponenten kann unter anderem:

1. das Kontrollumfeld um eine entsprechende ESG-Governance, wie z.B. Richtlinien, angemessene Überwachungsstrukturen oder auch Befugnisse oder Verantwortlichkeiten ergänzt werden,
2. eine Risikoanalyse entlang der Prozesskette zur vollumfänglichen Erhebung relevanter Nachhaltigkeitsrisiken durchgeführt werden,
3. die bestehende Risiko-Kontroll-Matrix um Kontrollen zur Sicherstellung adäquater Daten in der Nachhaltigkeitsberichterstattung sowie der Implementierung von IT-Kontrollen für eingesetzte Systeme zur Erhebung relevanter Daten ergänzt werden,
4. ein Schulungsprogramm für in die Nachhaltigkeitsberichterstattung involvierte Mitarbeiter aufgesetzt werden,
5. die Berichterstattung an Management und Aufsichtsorgane um die Effektivität der nicht-finanziellen Kontrollen erweitert werden.

In Bezug auf die Datenerhebung müssen sowohl interne Datenquellen (wie z.B. ERP- oder CRM-Systeme) als auch externe Datenquellen (z.B. Dienstleister, Zulieferer) identifiziert werden. In Abhängigkeit von den identifizierten Quellen kann ein standardisiertes und dokumentiertes Verfahren zur Definition und Berechnung relevanter Daten(punkte) etabliert werden. Neben determinierten Stammdaten je Datenpunkt können auch die Definition, die Kalkulationsmethodik sowie die Datenquellen revisionssicher dokumentiert werden.

Auf dieser Grundlage können interne oder externe (Vor-)Prozesse modelliert und Risiken entlang der Prozesskette identifiziert werden. Auch können adäquate Kontrollen zur Mitigation von Risiken in Hinblick auf die Erhebung, Aggregation und Validierung von nicht-finanziellen Daten in diesem Kontext definiert und eingeführt werden.  

Die Erhebung, Aggregation und Validierung von Daten im Hinblick auf eine adäquate Nachhaltigkeitsberichterstattung stellen Unternehmen vor große Herausforderungen. Für die im Rahmen der sog. Wesentlichkeitsanalyse bestimmten Datenpunkte müssen Datenquellen identifiziert und Prozesse zur fehlerfreien Erhebung dieser Daten determiniert werden. Eine gut strukturierte ESG-Governance und etablierte Prozesse mit angemessenen internen Kontrollen bilden dabei die Basis für eine verlässliche Berichterstattung, die auch den Anforderungen des Wirtschaftsprüfers Rechnung trägt.

Bildquelle: Pexels, Andrea Piacquadio