Welke beheersingsmaatregelen kunnen worden getroffen in het kader van de betrouwbaarheid van duurzaamheidsinformatie? Hierbij kan worden aangesloten bij een indeling in een viertal soorten maatregelen:
4.1. Preventieve beheersingsmaatregelen
Preventieve beheersingsmaatregelen kunnen worden onderverdeeld in a) normen; b) richtlijnen; en c) controle-technische functiescheiding.
<italic>4.1.1. Normen</italic>
De vooraf te stellen normen moeten eenduidig zijn en consequent worden nageleefd. Waar financiële verantwoording vooral gebaseerd is op normen, zoals standaardkostprijzen, vaste verkoopprijzen en kortingspercentages, ligt dit bij de niet-financiële duurzaamheidsinformatie anders. De definitie van de te verzamelen duurzaamheidsinformatie is namelijk niet altijd vastgelegd in verslaggevingsstandaarden en kan daardoor per organisatie verschillen. Daarom is het essentieel dat organisaties de definities van de datapunten expliciet vastleggen en accorderen.
Een voorbeeld kan dit concreter maken. Het is niet eenvoudig om een materieel belangrijk thema, zoals circulariteit (ESRS E5), te vertalen naar specifieke datapunten. In de ESRS Navigator van de RVO (2025) wordt bijvoorbeeld het datapunt ‘het percentage gerecyclede en hergebruikte materialen’ genoemd. Daarbij moet een organisatie keuzes maken, zoals:
Wordt dit percentage berekend op basis van kilogrammen of euro’s?
Geldt het voor alle materialen, of alleen voor de meest milieubelastende materialen?
Worden de gegevens gebaseerd op basis van inkoopgegevens of van productieregistraties?
Deze keuzes hebben grote gevolgen voor de inrichting van de informatieverzorging. De mate waarin de huidige informatiesystemen deze informatie nu al kunnen opleveren en de mate van betrouwbaarheid van deze informatie dienen mee te spelen in de keuze van de specifieke datapunten. Daarnaast kunnen schattingen en aannames een rol spelen, waardoor de betrouwbaarheid afhangt van de kwaliteit van deze aannames. Het is daarom belangrijk om de normen duidelijk te definiëren en de onderliggende bronnen transparant te verantwoorden. Voor CO2-informatie wordt bijvoorbeeld vaak verwezen naar het Greenhouse Gas Protocol, dat voorschrijft dat zowel de gehanteerde norm expliciet wordt vermeld als de bron (Ranganathan et al. 2004).
Naast de normen zijn ook omrekenfactoren cruciaal. Wanneer bijvoorbeeld de CO2-uitstoot door personeelsgebonden mobiliteit moet worden bepaald, moeten de kilometers van benzine-, diesel- en elektrische auto’s worden omgerekend naar CO2-equivalenten. Dit vereist vastgestelde omrekenfactoren en een periodieke evaluatie.
Onder normstelling wordt traditioneel ook ex-ante oordeelsvorming gerekend, zoals begrotingen (Van Leeuwen and Bergsma 2014). Binnen ESG-rapportage schrijven de standaarden bovendien voor dat er expliciete doelstellingen (targets) moeten worden vastgesteld voor relevante indicatoren. Het opnemen van deze duurzaamheidsindicatoren in de planning- en controlcyclus, inclusief het doorvertalen van doelen naar concrete verantwoordelijkheden, draagt bij aan de betrouwbaarheid van de informatie. Op basis van dergelijke normen kunnen vervolgens repressief gedetailleerde analyses worden uitgevoerd.
Eventuele afwijkingen van de norm kunnen ontstaan door tegenvallende prestaties om de doelstellingen te realiseren, of door onbetrouwbare data of kwalitatieve ontoereikendheid van de normen.
<italic>4.1.2. Richtlijnen</italic>
Naast de genoemde wat hardere normen is in de klassieke AO-literatuur sprake van richtlijnen (Van Leeuwen and Bergsma 2014). Richtlijnen geven richting aan het handelen en begrenzen bevoegdheden. Het uitwerken van beleid (de P binnen de PAT-systematiek van datapunten zoals benoemd in de standaarden) in concrete richtlijnen vormt een belangrijke basis voor het onderbouwen van het beleid ten aanzien van specifieke materiële duurzaamheidsonderwerpen.
Voor het verstrekken van betrouwbare duurzaamheidsinformatie kan het noodzakelijk zijn dat bepaalde informatie moet worden verzameld en vastgelegd. Dit kan bijvoorbeeld betekenen dat inkopers gebonden zijn aan richtlijnen waarin eisen aan leveranciers worden gesteld, zoals het aanleveren van specifieke data over duurzaamheidsaspecten of het voldoen aan een bepaald keurmerk. Welke richtlijnen in een specifieke organisatie noodzakelijk zijn, hangt af van welke kritieke duurzaamheidsinformatie voor de organisatie materieel en relevant is.
<italic>4.1.3. Controle-technische functiescheiding</italic>
De laatste categorie betreft de controle-technische functiescheiding. Ook bij duurzaamheidsinformatie is het nodig om na te denken over de verdeling van bevoegdheden. Bij duurzaamheidsinformatie vindt de primaire vastlegging vaak niet plaats binnen de standaardboekhoudpakketten. Er is vaak sprake van meerdere registraties en overdrachtsmomenten voordat de informatie uiteindelijk in een rapportage wordt opgenomen. Hierdoor neemt het belang van het scheiden van registrerende en controlerende functies toe, zodat overnamefouten tijdig kunnen worden gesignaleerd en door middel van correctieve beheersingsmaatregelen in de toekomst kunnen worden voorkomen. De rol van de beschikkende functie, die normen en richtlijnen vaststelt, is hiervoor reeds besproken.
4.2. Beheersingsmaatregelen in het proces
De geautomatiseerde verwerking van het verzamelen, vastleggen, verwerken en verstrekken van gegevens is een belangrijk middel om de betrouwbaarheid van informatie te borgen.3 Met betrekking tot financiële informatie zijn in het vakgebied AO de standaardprocessen gedetailleerd in studieboeken beschreven. Daarnaast bestaan er softwarepakketten die deze administratieve processen ondersteunen, waarin diverse beheersingsmaatregelen standaard zijn opgenomen. Veel duurzaamheidsgegevens maken echter geen onderdeel uit van deze standaardprocessen en moeten buiten de financiële, transactiegerichte informatiesystemen worden verzameld. Dit betekent dat binnen organisaties extra aandacht noodzakelijk is voor de primaire vastleggingen van brondata. Dit is des te belangrijker, omdat duurzaamheidsinformatie betrekking heeft op de gehele waardeketen. De wijze van de primaire vastlegging hangt daarom sterk samen met de plaats waar de impact ontstaat. Ter illustratie: bij informatie over broeikasgassen die de organisatie in haar productieproces uitstoot, zullen gegevens vaak worden gemeten en vastgelegd via sensoren die onderdeel zijn van de technische informatiesystemen. De betrouwbaarheid van de metingen hangt in belangrijke mate af van de kwaliteit van deze sensoren. Een mogelijke beheersingsmaatregel om deze kwaliteit te borgen is het periodiek keuren van de sensoren, bijvoorbeeld door middel van certificering door een gerenommeerd instituut. Naast de kwaliteit is ook het tijdig detecteren van storingen of uitval in verband met de continue werking van de sensoren relevant. Dit voorbeeld betreft binnen Scope 1 de directe uitstoot van door de organisatie zelf beheerde bronnen (Ranganathan et al. 2004, p. 27).
Bij Scope 2, de uitstoot die samenhangt met gekochte energie en daarmee wordt gegenereerd door leveranciers (Ranganathan et al. 2004, p. 27), kan de verkrijging van de brondata op uiteenlopende wijze plaatsvinden. Hier kan bijvoorbeeld wel een relatie bestaan met de transactieverwerkende systemen, zoals de inkoop- en crediteurenapplicatie waarin de levering van elektriciteit is opgenomen, of personeelsadministratie waarin woon-werkverkeer wordt vastgelegd. Aanpassing van applicaties kan dan noodzakelijk zijn, bijvoorbeeld om aanvullende kenmerken te registreren zoals het type brandstof van het gebruikte vervoersmiddel.
Bij Scope 3, de uitstoot als gevolg van activiteiten in de waardeketen van de organisatie (Ranganathan et al. 2004), zoals emissies door het gebruik van de producten door klanten, ontbreekt de vastlegging op transactieniveau doorgaans. Deze activiteiten zijn activiteiten van derden en worden door de organisatie meestal niet systematisch geregistreerd. De omvang van deze emissies wordt daarom veelal geschat op basis van statistische bronnen en berekend met behulp van omrekenfactoren. Voor de betrouwbaarheid zijn de selectie, accordering en documentatie van deze bronnen binnen de preventieve maatregelen daarom van groot belang.
De primaire vastlegging van ESG-data kan dus op zeer uiteenlopende wijze tot stand komen. Dit hangt zowel samen met de diversiteit aan materiële ESG-datapunten als met de verschillen tussen Scope 1, 2 of 3 binnen een specifiek ESG-onderwerp. Het stelsel van normen en richtlijnen dat bij de preventieve maatregelen is besproken, is bij duurzaamheidsinformatie hierdoor minder eenduidig en minder gestandaardiseerd dan bij financiële informatie. Het benodigde normenkader is afhankelijk van de materiële onderwerpen en over welke categorie, scope, de gegevens moeten worden verzameld.
In de genoemde voorbeelden spelen richtlijnen voor de keuring van sensoren en voor inkoopcontracten waarin de verplichting tot aanlevering van extra data opgenomen is, een belangrijke rol. Naast de richtlijnen zijn ook normen essentieel, zoals normen over het CO2-verbruik per kilometer per type vervoersmiddel, de omrekenfactoren van sensoruitkomsten naar broeikasgasdata en normen over de herkomst en onderbouwing van de gehanteerde bronnen. Met name bij Scope 3 spelen aannames over gedrag van klanten met betrekking tot de producten van de organisaties een belangrijke rol. Hoewel externe inschattingen op brancheniveau vaak wel aanwezig zijn, moeten de veronderstellingen expliciet worden gemaakt om deze te vertalen naar de eigen producten en activiteiten van de organisatie. De wijze waarop deze preventieve beheersingsmaatregelen in de informatieverzorging geautomatiseerd worden vastgesteld en gecontroleerd, bepaalt daarmee in hoge mate de betrouwbaarheid van de gerapporteerde duurzaamheidsinformatie.
Standaardisatie van de informatieverwerking vindt niet alleen plaats bij de verzameling van gegevens, maar ook in de verwerking en rapportages daarvan. Er zijn diverse softwarepakketten op de markt die het centraal vastleggen, verwerken en verstrekken van ESG-informatie ondersteunen (Pransky et al. 2023). Veel van deze pakketten bevatten centraal ingerichte bevoegdheidstabellen waarmee controle-technische functiescheidingen kunnen worden afgedwongen en waarbij mutaties systematisch kunnen worden gelogd. Daarnaast bieden dergelijke pakketten vaak geautomatiseerde koppelingen via application programming interfaces (API’s). Door data via een API in te laden kan tevens worden bewaakt of de gegevens reeds zijn ingevoerd, waardoor ontbrekende of dubbele invoer kan worden gesignaleerd of worden voorkomen (Pransky et al. 2023).
Het hanteren van een standaard geautomatiseerd pakket kan de betrouwbaarheid verhogen. De wijze waarop de invoer wordt gevraagd vindt namelijk op een uniforme gestandaardiseerde plaats, en hiermee worden preventieve beheersingsmaatregelen in het administratieve proces geïntegreerd. Dit kan onder meer door het opnemen en integreren van de standaarden van de verschillende verslaggevingsstandaardsetters en het centraal registreren van definities, omrekenfactoren en bronnen in het pakket. Bovendien kan de leverancier van het softwarepakket wijzigingen bijhouden van de verslaggevingsstandaarden en deze doorvoeren in het softwarepakket, hetgeen de actualiteit van de informatievoorziening ondersteunt.
Voor de kwaliteit van de informatie zijn op de betrouwbaarheid en controleerbaarheid gerichte beheersingsmaatregelen van belang. Voor de controleerbaarheid, oftewel het achteraf kunnen vaststellen van de betrouwbaarheid van informatie, is logging van de mutaties essentieel. Een survey van KPMG LLP uit begin 2024 onder 550 bestuursleden van organisaties met meer dan een miljard dollar omzet laat zien dat circa 47 procent Excel als belangrijkste informatiesysteem gebruikt (KPMG LLP 2024). In Excel is het echter doorgaans lastig en vaak zelfs onmogelijk om systematisch na te gaan of gegevens zijn gewijzigd en door wie deze wijzigingen zijn doorgevoerd. Het achteraf vaststellen van de mate van betrouwbaarheid, bijvoorbeeld op basis van verbanden in de waardekringloop, is voor financiële data soms theoretisch mogelijk. Bij duurzaamheidsinformatie is de mogelijkheid om buiten het ‘systeem’ de betrouwbaarheid vast te stellen, meestal afwezig. De afhankelijkheid van de geautomatiseerde gegevensverwerking is daarom zeer hoog. Om de betrouwbaarheid van de gegevensverwerking te kunnen vaststellen is het hebben van logbestanden dus van groot belang. Logging is een standaardfunctionaliteit binnen gespecialiseerde softwarepakketten voor ESG-informatieverwerking.
Naast deze functionaliteiten kan de betrouwbaarheid van de gegevens worden verhoogd door geautomatiseerde controles. Deze controles verschillen in essentie niet van geautomatiseerde controles zoals beschreven in de AO-literatuur. De onvolwassenheid van de informatievoorziening rondom duurzaamheidsrapportages blijkt echter uit het veelvuldig ontbreken van dergelijke controles (Troshani and Rowbottom 2023). In de literatuur worden geautomatiseerde controles doorgaans onderverdeeld in invoercontroles, verwerkingscontroles en uitvoercontroles (Gelinas et al. 2018, pp. 745–752; Romney et al. 2021, pp. 423–427):
Invoercontroles richten zich onder meer op het signaleren van ontbrekende gegevens, bijvoorbeeld door velden niet leeg te accepteren. Daarnaast worden controles genoemd op juistheid, het type invoer (tekst of numerieke getallen), redelijkheidscontroles waarbij de invoer met waarden in andere velden wordt vergeleken, ‘range-checks’ waarbij gekeken wordt of de invoer binnen een bepaald bereik valt, en validiteitscontroles waarbij de invoer wordt getoetst aan externe bronnen.
Verwerkingscontroles omvatten bijvoorbeeld controles op volledigheid door middel van doorlopende nummering, waardoor ontbrekende transacties kunnen worden gesignaleerd. Daarnaast worden verbandscontroles toegepast, zoals het vergelijken van totalen via hash- als batchtotalen.
Uitvoercontroles maken het mogelijk om periodieke gebruikerscontroles en analyses op de output uit te voeren, zowel door geprogrammeerde controle als door het gebruik van logging. Naast de gebruikelijke uitvoercontroles bieden sommige pakketten functionaliteiten voor rapportage via XBRL, waarmee de betrouwbaarheid van de output door automatisering verder kan worden verhoogd.
4.3. Repressieve en correctieve beheersingsmaatregelen
Repressieve beheersingsmaatregelen vinden periodiek plaats na het opstellen van de (concept)rapportage. In een ideale situatie functioneren de preventieve en geautomatiseerde beheersingsmaatregelen zodanig effectief dat de repressieve controles uitsluitend dienen ter bevestiging van de goede werking van het systeem. Het beperkte empirische onderzoek dat beschikbaar is wijst echter uit dat de informatieverzorging rondom duurzaamheidsinformatie in veel organisaties nog onvolwassen is. Hierdoor zijn repressieve controles met correctieve beheersingsmaatregelen noodzakelijk om de betrouwbaarheid te verhogen (Troshani and Rowbottom 2023).
Repressieve beheersingsmaatregelen worden doorgaans ingedeeld in de categorieën verbandscontroles, analyses en overige controles (Van de Ven 2025). Het leggen van totaalverbanden achteraf kan in een niet geheel geautomatiseerde omgeving zeer nuttig zijn. Dit stelt echter eisen aan de informatieverzorging. In de praktijk komt het bijvoorbeeld voor dat duurzaamheidsinformatie wordt verzameld via e-mails. In dergelijke situaties zijn repressieve controles op basis van totaaltellingen moeilijk uitvoerbaar. Ook worden diepgaande analyses beperkt wanneer gedetailleerd uitgewerkte duurzaamheidsdoelstellingen op de materiële ESG-onderwerpen onvoldoende zijn uitgewerkt. In dat geval ontbreken betrouwbare normen om de gerealiseerde prestaties mee te vergelijken.
Vanuit een planning- en controlperspectief is het vaststellen van dergelijke normen van belang om sturing op duurzaamheidsdoelstellingen mogelijk te maken. Vanuit betrouwbaarheidsperspectief kunnen afwijkingen ten opzichte van deze normen bovendien duiden op onbetrouwbare vastleggingen. Detailcontrole op de verschillen is noodzakelijk om correcties op de verantwoording door te voeren. De detailcontrole kan als correctieve beheersingsmaatregel verbeteringen in het administratieve proces aanbrengen om herhaling in toekomstige perioden te voorkomen.
Onder de overige controles zijn waarneming ter plaatse en detailcontroles opgenomen, gericht op de naleving van procedures, wet- en regelgeving (Van Leeuwen and Bergsma 2014). In een minder geautomatiseerd proces, waarbij de preventieve beheersingsmaatregelen minder effectief worden afgedwongen binnen het administratieve proces, is controle op naleving van de normen en richtlijnen daarom extra van belang.