CSRD Güvence Denetimi Hazırlığı: Üçüncü Taraf Doğrulama İçin Hazırlanma Rehberi

Güvence Denetimi: CSRD'nin Kritik Boyutu

Kurumsal Sürdürülebilirlik Raporlama Direktifi (CSRD), Avrupa'da sürdürülebilirlik raporlamasını finansal raporlamayla eşdeğer bir güvenilirlik düzeyine taşımayı hedeflemektedir. Bu hedefin en somut yansımalarından biri, sürdürülebilirlik raporlarının bağımsız güvence denetimine tabi tutulması zorunluluğudur.

Direktifin 34. maddesi, kapsam dahilindeki şirketlerin sürdürülebilirlik raporlamalarının "yasal denetçi veya denetim firması tarafından güvence görüşü" ile desteklenmesini şart koşmaktadır (Directive 2022/2464, Article 34). Bu, sürdürülebilirlik verilerinin artık yalnızca beyan niteliğinde olmadığı, bağımsız bir üçüncü tarafça doğrulanması gerektiği anlamına gelmektedir.

Pek çok şirket için bu, tamamen yeni bir süreçtir. Finansal denetim deneyimi olsa bile, sürdürülebilirlik güvence denetimi farklı standartlara, farklı veri türlerine ve farklı iç kontrol gereksinimlerine tabidir.

Sınırlı Güvence ve Makul Güvence: Temel Farklar

CSRD, başlangıçta sınırlı güvence (limited assurance) gerektirmekte, ancak Avrupa Komisyonu'nun ilerleyen dönemde makul güvenceye (reasonable assurance) geçişi değerlendirmesini öngörmektedir.

Sınırlı Güvence (Limited Assurance)

Sınırlı güvence, denetçinin "konuyla ilgili önemli bir yanlışlığın dikkatimize gelmediği" şeklinde olumsuz bir ifadeyle görüş bildirdiği düzeydir. Denetçi, sorgulama ve analitik prosedürler ağırlıklı çalışır; detaylı test sayısı nispeten azdır.

ISAE 3000 (Revised) standardı, sınırlı güvence angajmanlarını şöyle tanımlar: "Angajman riski, güvence uygulayıcısının konu hakkında uygunsuz bir sonuca ulaşma riski olup, sınırlı güvence angajmanlarında bu risk, makul güvence angajmanına kıyasla daha yüksek ancak yine de kabul edilebilir düzeyde tutulur" (IAASB, ISAE 3000 (Revised), paragraf 11).

Makul Güvence (Reasonable Assurance)

Makul güvence, denetçinin "raporun tüm önemli açılardan kriterlere uygun hazırlandığı" şeklinde olumlu bir görüş bildirdiği düzeydir. Bu, finansal tablolar üzerindeki denetim görüşüne eşdeğerdir. Daha kapsamlı testler, daha fazla kanıt toplama ve daha yüksek denetim saatleri gerektirir.

CSRD'nin kademeli geçiş planına göre:

Pratik Yorum: Sınırlı güvence, makul güvenceden "kolay" değildir — sadece daha az kapsamlıdır. Denetçiler yine de önemli yanlışlıkları tespit etmeye yönelik prosedürler uygulayacaktır. Sınırlı güvenceyi "geçilecek düşük bir çıta" olarak görmek stratejik bir hatadır.

Güvence Standartları: ISAE 3000 ve ISSA 5000

ISAE 3000 (Revised): Mevcut Standart

Uluslararası Denetim ve Güvence Standartları Kurulu (IAASB) tarafından yayımlanan ISAE 3000 (Revised), finansal olmayan bilgilerin güvence denetimine ilişkin genel çerçeveyi sunan standarttır. Şu anda sürdürülebilirlik güvence denetimleri büyük ölçüde bu standarda dayanmaktadır (IAASB, International Standard on Assurance Engagements 3000 (Revised), Assurance Engagements Other than Audits or Reviews of Historical Financial Information).

ISAE 3000'in temel gereksinimleri şunlardır:

• Etik gereksinimler: Bağımsızlık, tarafsızlık ve mesleki yeterlilik
• Kalite yönetimi: Angajman kalitesinin güvence altına alınması
• Planlama: Risklerin değerlendirilmesi ve angajman stratejisinin belirlenmesi
• Kanıt toplama: Yeterli ve uygun kanıtın elde edilmesi
• Raporlama: Güvence görüşünün açık ve anlaşılır biçimde sunulması

ISSA 5000: Sürdürülebilirliğe Özel Yeni Standart

IAASB, sürdürülebilirlik güvence denetimine özel olarak tasarlanmış yeni bir standart olan ISSA 5000'i (International Standard on Sustainability Assurance) geliştirmektedir. Bu standart, ISAE 3000'in genel çerçevesini sürdürülebilirliğe özgü gereksinimlerle derinleştirmeyi amaçlamaktadır.

ISSA 5000 taslağı, Ağustos 2023'te kamuoyu görüşüne açılmış ve Aralık 2024'te nihai hale getirilmesi planlanmaktadır (IAASB, "Proposed International Standard on Sustainability Assurance 5000," Exposure Draft, 2023). Standart şu alanlarda spesifik rehberlik sunmaktadır:

• Sürdürülebilirlik bilgisinin yapısal özellikleri (tahminler, gelecek öngörüleri, nitel veriler)
• Değer zinciri boyunca bilgi güvenilirliği
• Birden fazla raporlama çerçevesiyle uyumluluk
• Diğer uygulayıcıların çalışmalarının kullanılması

Önemli Not: ISSA 5000 henüz nihai hale gelmemiş olsa da, CSRD'nin güvence gereksinimlerinin bu standartla uyumlu olması beklenmektedir. Şirketlerin her iki standardı da takip etmesi önerilir.

Denetçiler Ne Arar?

Güvence denetçileri, sürdürülebilirlik raporlarını incelerken belirli bir bakış açısıyla hareket eder. Aşağıdaki alanlar, denetçilerin odak noktalarını oluşturur:

1. Veri İzlenebilirliği (Data Trail)

Her bir veri noktasının kaynağına kadar izlenebilir olması gerekir. Raporunuzda "Kapsam 1 emisyonlarımız 12.450 ton CO2e'dir" yazdığınızda, denetçi şu soruyu soracaktır: Bu rakam nereden geldi? Hangi tesislerin verileri dahil? Hangi emisyon faktörleri kullanıldı? Ham veriler nerede saklanıyor?

EFRAG'ın CSRD uygulama rehberinde, "veri kalitesi ve izlenebilirlik" açıkça şirketlerin hazırlanması gereken güvence alanları arasında sayılmıştır (EFRAG, "ESRS Implementation Guidance," 2024).

2. İç Kontroller

Finansal raporlamada olduğu gibi, sürdürülebilirlik verilerinin doğruluğunu sağlayan iç kontrol mekanizmaları aranacaktır:

• Veri toplama süreçlerinde görev ayrımı
• Girdi doğrulama ve onay prosedürleri
• Hesaplama mantığının belgelenmesi
• Hata tespit ve düzeltme mekanizmaları
• Düzenli iç gözden geçirme

3. Yönetişim

Sürdürülebilirlik raporlamasının kurumsal yönetişim yapısına entegre edilmiş olması beklenir. Denetçiler şu unsurları sorgulayacaktır:

• Yönetim kurulunun sürdürülebilirlik raporlamasındaki rolü ve sorumluluğu
• Raporlama sürecinden sorumlu kişilerin yetkinliği
• Üst yönetimin raporlama sürecine dahiliyeti
• Sürdürülebilirlik raporlaması politikalarının varlığı

4. Tutarlılık ve Karşılaştırılabilirlik

Raporlama yöntemlerinin dönemler arasında tutarlı uygulanması, karşılaştırılabilir sonuçlar üretmesi ve herhangi bir yöntem değişikliğinin açıkça belirtilmesi gerekir.

5. Tamlık

Raporlama kapsamının ESRS gereksinimlerini karşılayıp karşılamadığı, herhangi bir önemli konunun kapsam dışı bırakılıp bırakılmadığı değerlendirilecektir.

İç Kontrol Altyapısını Kurmak

Güvence denetimine hazırlanmanın en etkili yolu, sağlam bir iç kontrol altyapısı oluşturmaktır. Finansal raporlama için zaten mevcut olan iç kontrol çerçevesini sürdürülebilirlik verileri için genişletmek, sıfırdan başlamaktan çok daha verimlidir.

Veri Toplama Kontrolleri

• Tanımlı veri sahipleri: Her bir veri akışı için sorumlu kişi ve yedek kişi belirleyin
• Standart şablonlar: Tesislerden gelen verilerin tutarlı formatta toplanmasını sağlayın
• Otomatik doğrulama kuralları: Mantıksal sınırlar, geçen yılla karşılaştırma, birim kontrolleri
• Zaman damgaları: Her veri girişinin ne zaman ve kim tarafından yapıldığının kaydedilmesi

Hesaplama Kontrolleri

• Belgelenmiş metodoloji: Hangi hesaplama yönteminin neden kullanıldığının yazılı kaydı
• Emisyon faktörü kayıt defteri: Kullanılan faktörlerin kaynak, tarih ve gerekçesiyle birlikte kaydı
• Dört göz ilkesi: Hesaplamaların hazırlayan kişiden farklı biri tarafından kontrolü
• Değişiklik günlüğü: Herhangi bir düzeltme veya yeniden hesaplama yapıldığında kaydı

Raporlama Kontrolleri

• İç gözden geçirme: Raporun yayımlanmadan önce en az bir iç gözden geçirme döngüsünden geçmesi
• Yönetim onayı: Nihai raporun yetkili yönetim organı tarafından onaylanması
• Tutarlılık kontrolü: Rapordaki verilerin birbirleriyle ve diğer kamuoyu açıklamalarıyla tutarlılığı

Hazırlık Zaman Çizelgesi

Güvence denetimine hazırlık, raporlama döneminden çok önce başlamalıdır. Aşağıdaki zaman çizelgesi, ilk kez güvence denetimine tabi olacak şirketler için önerilen bir yaklaşımdır:

Raporlama Döneminden 12-18 Ay Önce

• Mevcut veri toplama süreçlerinin boşluk analizi
• İç kontrol çerçevesinin tasarlanması
• Güvence sağlayıcı firma ile ön görüşmeler
• Eğitim ihtiyaçlarının belirlenmesi ve eğitimlerin planlanması

Raporlama Döneminden 6-12 Ay Önce

• İç kontrollerin uygulamaya alınması
• Pilot veri toplama döngüsünün çalıştırılması
• Süreç iyileştirmelerinin yapılması
• Güvence hazırlık değerlendirmesi (readiness assessment) — birçok denetim firması bu hizmeti sunmaktadır

Raporlama Dönemi Boyunca

• Kontrollerin düzenli işletilmesi
• Kanıt dosyalarının oluşturulması
• Ara dönem gözden geçirmeleri
• Sapmaların zamanında tespit edilmesi ve düzeltilmesi

Raporlama Dönemi Sonrasında

• Raporun hazırlanması ve iç gözden geçirmeden geçirilmesi
• Güvence denetçisine kanıt dosyalarının sunulması
• Denetçi sorgularına zamanında yanıt verilmesi
• Tespit edilen iyileştirme alanlarının sonraki dönem için planlanması

CSRD'ye Özgü Güvence Gereksinimleri

CSRD'nin güvence boyutunda dikkat edilmesi gereken bazı spesifik gereksinimler bulunmaktadır:

Raporlama Çerçevesiyle Uyumluluk

Güvence denetçisi, raporun Avrupa Sürdürülebilirlik Raporlama Standartları'na (ESRS) uygunluğunu değerlendirecektir. Bu, her bir ESRS'nin açıklama gereksinimlerinin karşılanıp karşılanmadığının kontrolünü içerir.

Çift Önemlilik Değerlendirmesinin Doğrulanması

Şirketin çift önemlilik değerlendirmesi (double materiality assessment) sürecinin uygunluğu da güvence kapsamındadır. Denetçi, değerlendirme metodolojisinin, paydaş katılım sürecinin ve sonuçlarının makul olup olmadığını sorgulayacaktır.

Dijital Etiketleme

CSRD, sürdürülebilirlik raporlarının dijital formatta (XBRL etiketleme ile) sunulmasını gerektirmektedir. Güvence kapsamının dijital etiketlemeyi de içerip içermediği, Avrupa Komisyonu'nun ikincil düzenlemeleriyle netleşecektir.

Sıkça Karşılaşılan Hazırlık Eksiklikleri

Güvence denetimlerine hazırlanan şirketlerin en sık karşılaştığı eksiklikler şunlardır:

1. Veri kaynağı belgelenmemiş: Veriler toplanmış ancak kaynakları, hesaplama yöntemleri veya varsayımları yazılı olarak kaydedilmemiş.
2. Kapsam 3 verilerinde izlenebilirlik yok: Tedarik zinciri emisyonları tahmine dayalı ancak tahmin yöntemi belgelenmemiş.
3. İç kontrol yapısı mevcut değil: Veriler toplanıyor ama kontrol edilmiyor; hata tespit mekanizması yok.
4. Yönetişim entegrasyonu eksik: Sürdürülebilirlik raporlaması operasyonel bir süreç olarak yürütülüyor, yönetim kurulu düzeyinde sahiplenme yok.
5. Zaman yönetimi: Güvence sürecine yeterli zaman ayrılmamış; denetçi sorularına yanıt vermek için baskı altında çalışılıyor.

Sonuç: Güvence, Yolculuğun Başlangıcıdır

Güvence denetimi, bir engel değil, raporlamanın kalitesini artıran bir mekanizmadır. CSRD kapsamındaki şirketler için bu süreç zorunlu olsa da, güvence hazırlığı aynı zamanda veri kalitesini, iç süreçleri ve kurumsal yönetişimi güçlendiren bir dönüşüm fırsatıdır.

Bugün sınırlı güvence ile başlayan yolculuk, gelecekte makul güvenceye evrilecektir. Bu geçişe şimdiden hazırlanmak, ileriki yıllarda daha düşük maliyet ve daha az sürtünme anlamına gelir.

Eylem Maddesi: Mevcut sürdürülebilirlik veri toplama sürecinizi denetçi gözüyle değerlendirin. Her bir veri noktası için şu soruyu sorun: "Bu veriyi bir denetçiye nasıl kanıtlarım?" Yanıt bulamadığınız noktalar, iç kontrol altyapınızın güçlendirilmesi gereken alanlarıdır.