Vad krävs för att granska hållbarhetsdata internt?

Varför intern granskning av hållbarhetsdata behövs

Lagändringarna om företagens hållbarhetsrapportering i svensk rätt trädde i kraft 1 juli 2024, bland annat genom ändringar i årsredovisningslagen, lagen om årsredovisning i kreditinstitut och värdepappersbolag samt lagen om årsredovisning i försäkringsföretag. Enligt CSRD ska hållbarhetsrapporten ingå i förvaltningsberättelsen i årsredovisningen som ett tydligt identifierbart avsnitt och granskas av en revisor. Finansinspektionen beskriver att kombinationen av att informationen förs in i årsredovisningen och att den granskas skapar förutsättningar för att den är tillförlitlig, relevant och jämförbar.

För den interna granskningen styr revisorns uppdrag vilken kvalitet underlagen måste hålla. Eftersom revisorn ställer frågor och prövar samband i siffrorna, måste den interna granskningen säkerställa att någon kan svara och att svaren går att belägga.

CSRD bygger vidare på NFRD men ställer högre krav: rapporteringen ska vara mer detaljerad och omfattande. Syftet är att göra hållbarhetsinformation mer transparent och jämförbar och ge finansmarknaderna relevant hållbarhetsinformation. En intern granskning som bara kontrollerar att en siffra finns uppfyller därför inte sitt syfte; den ska säkerställa att uppgiften är definierad, beräknad och dokumenterad så att den håller för utomståendes genomgång.

Avgränsa vad som ska granskas: väsentlighet, värdekedja och växthusgaser

Regeringens proposition 2023/24:124, överlämnad till riksdagen 27 mars 2024, slår fast att det nya direktivet ställer högre krav på informationsgivningen från de företag som omfattas jämfört med tidigare EU-lagstiftning för vissa stora företag från 2016 – bland annat om värdekedjan och utsläpp av växthusgaser. Kravet på hållbarhetsrapport utvidgas också till små och medelstora börsnoterade företag, stora eller börsnoterade dotterföretag och vissa större filialer till tredjelandsföretag med betydande verksamhet inom EES. Avgränsningen av granskningsobjektet bör därför utgå från den dubbelriktade väsentlighetsanalysen och de nyckeltal företaget självt identifierat som väsentliga, eftersom det är dessa uppgifter som hamnar i rapporten och därmed i granskningen.

Värdekedjan är den del av granskningsobjektet som oftast saknar färdig intern data. Uppgifterna kommer från leverantörer, kunder och andra parter utanför den egna redovisningen. Intern granskning behöver därför riktas mot hur data samlas in från dessa parter, vilka uppskattningar som används när data saknas och hur osäkerheten beskrivs i rapporten.

För växthusgasutsläpp ska granskningen omfatta både utsläpp från den egna verksamheten och utsläpp i värdekedjan, i linje med de högre krav på värdekedja och växthusgaser som propositionen lyfter fram. Praktiskt innebär det att varje utsläppspost ska kunna härledas till aktivitetsdata (till exempel förbrukning eller inköpt volym), en utsläppsfaktor och en uttalad beräkningsmetod.

Definitioner, dataägare och avgränsningar

Varje hållbarhetsdatapunkt behöver en entydig definition innan den kan granskas: vad som ingår, vilken enhet som används, vilken period som avses och vilken organisationsgräns som tillämpas – om dotterföretag, intressebolag, joint ventures och leasade tillgångar räknas in eller inte. Utan detta går det inte att avgöra om en siffra är fel eller bara definierad på ett annat sätt än granskaren förutsätter.

ESRS är den tillhörande standarden för rapportering enligt CSRD och är en EU-förordning som gäller direkt som lag i Sverige och ska följas av de företag som omfattas av direktivet; standarden reglerar det närmare innehållet i hållbarhetsrapporten. Standarden ger ett gemensamt språk och ramverk för att rapportera strukturerat och jämförbart, i likhet med de finansiella upplysningarna. Definitioner och nyckeltal bör knytas till denna struktur.

Varje datapunkt behöver också en utpekad dataägare – en namngiven funktion eller person som ansvarar för att uppgiften tas fram, definieras och kan förklaras. Granskningen behöver särskilt hantera uppskattningar: vilka antaganden som gjorts, varifrån de kommer och hur de påverkar det rapporterade värdet.

Spårbarhet och dokumentation från källa till rapport

Enligt FAR måste företag som omfattas av CSRD noggrant dokumentera och redovisa sina hållbarhetsstrategier och resultat. I praktiken innebär det att varje uppgift i rapporten ska kunna följas bakåt till en källa, en beräkning, de antaganden som gjorts och en attest eller ett godkännande.

Spårbarheten bör byggas upp i samma steg för varje datapunkt: identifiera källsystemet och den person som äger uppgiften, dokumentera hämtningen ur källsystemet, dokumentera beräkningen med formler och enheter, dokumentera uppskattningar och utsläppsfaktorer med källa och version, samt dokumentera vem som har granskat och godkänt uppgiften innan den förs in i rapporten. Då kan både intern och extern granskning följa samma kedja utan att återskapa den.

Dokumentationen behöver även omfatta det som inte blev en siffra: gjorda avgränsningar, data som saknats, uppskattningar som använts i stället och vilken osäkerhet det medför. Det är just sådana förklaringar som efterfrågas när informationsunderlaget är mindre enhetligt och datan komplex.

Granskningsåtgärder och vilken säkerhet de kan ge

Översiktlig granskning bygger enligt FAR främst på förfrågningar och analytisk granskning, inte på omfattande detaljerade tester, och resulterar i ett uttalande med begränsad säkerhet. Granskningen ska leda till en granskningsberättelse som lämnas till bolagsstämman efter varje räkenskapsår. Det bör styra hur den interna granskningen läggs upp: förfrågningar kräver personer som kan svara sakligt, och analytisk granskning kräver att nyckeltal hänger ihop mellan perioder, enheter och verksamhetsgrenar.

Den interna granskningen bör därför kombinera avstämning mot källsystem, rimlighetsbedömning av förändringar mellan år, jämförelse mot nyckeltal (till exempel per omsättning eller per producerad enhet) och stickprov på enskilda poster där underlaget är svagast. Varje åtgärd bör dokumenteras tillsammans med vad den visar och vad den inte visar.

Rapporteringen internt behöver vara tydlig med vilken säkerhetsnivå underlagen ger: vilka uppgifter som är avstämda mot källa, vilka som bygger på uppskattningar och vilka som saknar belägg.

Roller, kompetens och tvärfunktionellt arbetssätt

Granskning av hållbarhetsdata kräver kompetens från flera håll: hållbarhetsfunktionen kan metodik, faktorer och väsentlighetsbedömningar, redovisningsfunktionen kan intern kontroll, attest och koppling till årsredovisningen, data/IT kan källsystem, datamodeller och uttag, och internrevisionen kan granskningsmetodik och dokumentation av åtgärder. Ingen roll täcker hela kedjan ensam.

FAR beskriver att den mindre enhetliga informationen och de komplexa data som hållbarhetsrapporteringen innebär ställer nya krav på både kunskap och metodik, och att revisorer behöver säkerställa att de har rätt kompetens för de nya arbetsuppgifterna. Samma krav gäller internt: den som granskar behöver förstå både beräkningsmetoden bakom datapunkten och hur den tas fram ur systemen.

Ett arbetssätt som håller är att utse en samordnande funktion för hållbarhetsrapporteringen, låta varje datapunkt ha en dataägare enligt avsnittet ovan och låta internrevision eller motsvarande granska processen i stället för att varje funktion granskar sina egna siffror. Då blir det tydligt vem som svarar på revisorns förfrågningar och vem som äger eventuella avvikelser.

Så förbereder ni intern granskning inför extern översiktlig granskning

Eftersom EU:s standarder för översiktlig granskning ännu inte är fastställda har FAR utvecklat svenska riktlinjer som gäller fram till 2027, då EU-kommissionens standarder förväntas träda i kraft. Den översiktliga granskningen beskrivs som ett första steg mot ökat förtroende för företagens hållbarhetsinformation. Tidplanen för den interna granskningen bör därför läggas så att underlagen finns på plats och är dokumenterade under den period då de svenska riktlinjerna tillämpas, så att samma underlag kan återanvändas när EU-standarderna börjar gälla.

Regelverket förändras samtidigt löpande. FI konstaterar att EU-kommissionen 26 februari 2025 lämnade ett förslag till regelförenkling och minskad administrativ börda gällande bland annat CSRD, som en del av Omnibus I, och att förslaget bland annat rör vilka företagskategorier som ska beröras och vid vilka tidpunkter. Omfattningen för det egna företaget kan därför komma att justeras, och avgränsningen av granskningsobjektet bör ses över när förändringarna är beslutade.

Praktiskt bör den interna granskningen vara avslutad innan revisionen påbörjar sin översiktliga granskning, eftersom den externa granskningen till stor del bygger på förfrågningar och analytisk granskning. Det innebär att bemanna och planera granskningen i god tid före räkenskapsårets slut, att samla dokumentationen på ett ställe och att se till att de personer som kommer att få frågor från revisorn har tillgång till både siffror och förklaringar.

Checklista för intern granskning av hållbarhetsdata

Använd följande punkter som checklista för den interna granskningen:

• Har varje datapunkt en entydig definition av vad som ingår, vilken enhet som används, vilken period som avses och vilken organisationsgräns som tillämpas?

• Finns en utpekad dataägare – en namngiven funktion eller person – för varje datapunkt?

• Går varje uppgift att följa bakåt till källsystem och dokumenterad hämtning?

• Är beräkningen dokumenterad med formler, enheter och eventuella utsläppsfaktorer med källa och version?

• Är uppskattningar, antaganden och osäkerhet dokumenterade och beskrivna?

• Finns attest eller godkännande av uppgiften innan den förs in i rapporten?

• Är avgränsningar och saknade data dokumenterade tillsammans med vilka uppskattningar som använts i stället?