ESG verisi bağımsız güvenceye nasıl hazırlanır

ESG güvencesi nedir, klasik denetimden farkı ne?

ESG güvencesi (assurance), bir kuruluşun yayımladığı çevresel, sosyal ve yönetişim bilgisinin güvenilirliğine ilişkin bağımsız bir tarafın verdiği sonuçtur. Güvence veren kişi ya da kuruluş, raporda yer alan göstergelerin belirlenen kriterlere göre hazırlanıp hazırlanmadığını inceler ve bir sonuç bildirimi yazar. Finansal denetim bilançoyu ve gelir tablosunu inceler. ESG güvencesi ise çoğu zaman nitel anlatımları, enerji ve su tüketimi gibi operasyonel verileri, emisyon hesaplarını ve insan kaynakları göstergelerini kapsar.

Bu yüzden güvence çalışması, finansal denetimdeki hazır muhasebe kayıtlarına benzer bir altyapı bulamaz. Veriler çoğu zaman sayaç okumalarından, tedarikçi faturalarından, tablolardan ve farklı departmanların elle tuttuğu dosyalardan gelir. Güvence veren, bu verinin nereden geldiğini, kimin hesapladığını ve hangi kontrollerden geçtiğini görmek ister. Bu nedenle ESG güvencesi alma becerisi, raporu yazmaktan çok verinin izlenebilir olmasını sağlamakla ilgilidir.

Uluslararası düzeyde bu işler için kullanılabilecek standartlardan biri, Uluslararası Denetim ve Güvence Standartları Kurulu (IAASB) tarafından yayımlanan ISSA 5000'dir. Standart, belirli bir meslek grubuna bağlı olmadan, farklı raporlama çerçeveleriyle hazırlanan sürdürülebilirlik bilgisi için güvence işlerinde kullanılmak üzere tasarlanmış ilke temelli bir çerçevedir. Hangi standardın sizin için geçerli olduğu, bulunduğunuz ülkenin düzenlemelerine ve raporlama zorunluluğunuza bağlıdır.

Güvence düzeyi: sınırlı mı, makul mü?

Güvence işlerinde iki düzey ayrımı yapılır. Sınırlı güvencede güvence veren, incelemeleri soruşturma, analitik prosedürler ve sınırlı sayıda doğrulama ile yürütür; sonuç, bilgiyi önemli ölçüde yanlış gösterecek bir hata dikkate gelmediği yönünde, yani olumsuz biçimde ifade edilir. Makul güvencede ise daha kapsamlı kanıt toplanır, kontroller daha derin test edilir ve sonuç doğrudan olumlu biçimde ifade edilir. Makul güvence daha fazla emek ve daha olgun bir veri altyapısı gerektirir.

Pratikte ilk kez güvence alan kuruluşlar çoğunlukla sınırlı güvenceyle başlar. Bu kararı verirken şunlara bakın:

• Raporunuzu kimler okuyacak ve hangi kararlar için kullanacak: yatırımcı, finansman kuruluşu, müşteri ya da düzenleyici kurum.
• Veri toplama süreciniz kaç farklı birime ve sisteme yayılıyor, kontroller yazılı mı.
• Düzenleme ya da sözleşme belirli bir güvence düzeyini zorunlu kılıyor mu.

Güvence düzeyi tek başına kalite göstergesi değildir. Sınırlı güvence alan ve verisini iyi organize etmiş bir kuruluş, makul güvence peşindeki dağınık bir kuruluştan daha sağlam bir temelde durabilir. Güvence düzeyini rapora net biçimde yazmak ve okuru yanıltmamak gerekir.

Başlamadan önce kapsamı ve göstergeleri sabitleyin

Güvence çalışması, hangi bilgilerin kapsama alınacağının yazılı olarak belirlenmesiyle başlar. Tüm rapor mu, yalnızca seçilmiş göstergeler mi güvenceye tabi olacak? Hangi dönem, hangi tesisler ve hangi iştirakler kapsamda? Kapsam, finansal raporlama sınırlarıyla çakışmayabilir; örneğin bir tesis finansal olarak konsolide edilse de çevresel veri toplama sınırının dışında kalmış olabilir. Bu fark baştan netleşmezse sonradan tartışma çıkar.

Önemlilik (materiality) çalışması kapsamı belirlemenin temelidir. Hangi konuların paydaşlar ve işletme için önemli olduğunu gösteren bu analiz yapılmamışsa, güvence veren hangi göstergelerin güvenceye değer olduğunu sizinle birlikte yeniden tartışır. Önemlilik analizi sonuçlarını, göstergelerin tanımlarını ve ölçüm yöntemlerini içeren bir dokümanla kayıt altına alın.

Her gösterge için bir tanım sayfası hazırlayın: ne ölçülüyor, hangi birimle, hangi dönemde, hangi hesaplama yöntemiyle, hangi veri kaynağından, kim sorumlu. Bu sayfa güvence sürecinde en çok başvurulan belgelerden biridir.

Veri izini kurmak: bir göstergeyi uçtan uca izleyin

Güvence veren, rapordaki bir rakamdan başlayıp kaynağına kadar geri gidebilmek ister. Buna veri izi (audit trail) denir. İzi kurmak için her göstergede şu zinciri belgelendirin: ham veri kaynağı, toplama yöntemi, birleştirme ve dönüştürme adımları, hesaplama formülü, onay ve rapora aktarım.

Kontrol edilebilir bir izin özellikleri şunlardır:

• Ham veriye (fatura, sayaç okuması, bordro kaydı, tedarikçi bildirimi) erişim ve saklama düzeni vardır.
• Hesaplama dosyalarında formüller görünürdür; elle girilen düzeltmeler gerekçesiyle kayıt altındadır.
• Dönüşüm katsayıları ve emisyon faktörleri gibi dış parametrelerin kaynağı ve sürümü yazılıdır.
• Veriyi giren kişi ile onaylayan kişi farklıdır.
• Raporda yayımlanan rakam ile hesaplama dosyasındaki rakam birebir eşleşir.

Bu yapı, ESG veri mimarisi ve veri kalitesi çalışmasının doğrudan çıktısıdır. Veri tanımları tutarlı değilse, örneğin farklı tesisler su tüketimini farklı kapsamda raporluyorsa, güvence aşamasında bu fark ortaya çıkar ve düzeltme maliyeti yükselir.

Güvence veren sizden hangi kanıtları isteyecek?

Güvence veren kuruluşlar işin başında bir bilgi talep listesi gönderir. Bu liste kuruluşa göre değişir, ancak genel olarak şu başlıkları içerir: kapsam ve raporlama sınırı belgesi, gösterge tanımları, veri toplama prosedürleri, hesaplama dosyaları, ham veri örnekleri, iç kontrol kayıtları, önceki dönem rakamlarıyla karşılaştırma ve değişiklik açıklamaları, ilgili yönetim kurulu veya komite kararları.

Örneklem yöntemi sık kullanılır: güvence veren her veri noktasını değil, risk düzeyine göre seçilmiş örnekleri inceler. Bu nedenle ilk aşamada riskli alanları kendiniz belirlemeniz işe yarar. Elle hesaplanan göstergeler, tahmine dayanan rakamlar, tedarikçiden gelen bildirimler ve yılın içinde yöntemi değişen hesaplamalar genellikle yüksek risk olarak ele alınır.

Saha ziyareti çoğu güvence işinin parçasıdır. Bir tesise gidildiğinde sayaçların okunması, atık kayıtlarının incelenmesi ve çalışanlarla görüşme yapılması beklenebilir. Tesis sorumlularının bu ziyarete hazırlıklı olması, veri sahiplerinin süreci anlatabilmesi gerekir.

Örnek: su tüketimi göstergesinin doğrulanması

Örneğin bir üretim şirketi raporunda toplam su tüketimini yayımlıyor olsun. Güvence veren önce göstergenin tanımına bakar: şebeke suyu, kuyu suyu ve geri kazanılan su aynı toplamda mı, ayrı mı gösteriliyor? Ardından tesislerin rakamlarının nasıl toplandığına geçer. Bir tesiste sayaç okuması aylık elle yapılıyor, diğerinde otomatik sistemden geliyor olabilir. Güvence veren bu iki yöntemi karşılaştırır.

Analitik inceleme yapılır: önceki yıla göre belirgin artış ya da azalış var mı, üretim hacmiyle uyumlu mu? Beklenmeyen sapma varsa açıklaması istenir. Seçilen bir tesiste fatura ve sayaç kayıtlarıyla rapordaki rakam karşılaştırılır. Fark çıkarsa nedeni araştırılır: okuma hatası, tahakkuk zamanlaması, birim dönüşümü ya da yanlış hücre referansı olabilir.

Hazırlığı iyi yapılmış bir kuruluş bu soruların yanıtını önceden belgelendirmiş olur. Yanıtlar belgelenmemişse süreç uzar ve güvence veren kapsamı daraltmayı ya da sonuçta çekince belirtmeyi düşünebilir.

İç doğrulama ve sık yapılan hatalar

Bağımsız güvenceden önce iç doğrulama yapmak en etkili hazırlıktır. Raporlamadan bağımsız bir ekip ya da iç denetim, göstergeleri örnekleme yoluyla kaynağa kadar izler, uyumsuzlukları listeler ve düzeltme planı çıkarır. Böylece dış güvence veren aynı bulguları ilk kez görmez.

Sık yapılan hatalar şunlardır:

• Güvence sürecini rapor yayımlanmadan hemen önceye bırakmak. Veri toplama döneminde kontrol kurulmamışsa sonradan telafisi zordur.
• Gösterge tanımlarını tesislere bırakmak ve farklı yöntemlerle toplanan verileri aynı gösterge gibi toplamak.
• Hesaplama dosyalarına açıklamasız elle düzeltme girmek.
• Dış parametrelerin (dönüşüm katsayıları, emisyon faktörleri) kaynağını ve sürümünü kaydetmemek.
• Tahmine dayalı rakamları gerçek ölçüm gibi sunmak.
• Güvence düzeyini ve kapsamını raporda net yazmamak; güvenceye tabi olmayan bilgilerle olanları ayırt edilemez bırakmak.

Güvence veren kuruluşa karşı savunmacı davranmak yerine bulguları işbirliğiyle kapatmak, süreci kısaltır ve sonraki yıllarda veri kalitesini yükseltir.

Bu beceriyi Mindset programlarında nerede çalışırsınız?

Mindset kataloğundaki ESG Veri Doğrulama ve Güvence (Assurance) eğitimi, sürdürülebilirlik raporlaması, iç denetim, uyum ve kalite ekiplerinde çalışanlara yöneliktir. Programda güvencenin temelleri, veri mimarisi ve kalite standartları, güvence kapsamı ve risk değerlendirmesi ile güvence raporunun yazımı gibi başlıklar ele alınır; uygulama simülasyonu bölümü de bir güvence çalışmasını baştan sona çalıştırmaya imkân verir.

Kurumsal ekipler için en doğrudan karşılığı, raporlama sürecini sahiplenen ekibin dış güvence veren kuruluşla aynı dili konuşabilmesidir.