CSRD Denetim ve Güvence Süreci: Hazırlık Rehberi

CSRD'nin finansal raporlamadan temel farkı, sürdürülebilirlik bilgilerinin zorunlu bağımsız güvence sürecine tabi tutulmasıdır. Bu gereklilik, şirketlerin yalnızca bilgi toplamakla kalmayıp bu bilgilerin doğruluğunu, eksiksizliğini ve tutarlılığını kanıtlayan sağlam iç kontrol mekanizmaları kurmasını zorunlu kılmaktadır. Bu rehber, CSRD güvence gereksinimlerini ve hazırlık sürecini kapsamlı biçimde ele almaktadır.

CSRD Güvence Sistemi: Temel Çerçeve

CSRD, sürdürülebilirlik raporlaması için iki aşamalı bir güvence sistemi öngörmektedir:

Sınırlı Güvence (Limited Assurance)

Birinci aşama olan sınırlı güvence (limited assurance), CSRD'nin ilk yürürlük aşamasında zorunludur. Sınırlı güvencede denetçi, raporlanan bilgilerin hatalı olduğuna dair herhangi bir bulguya rastlamadığını beyan eder. Negatif güvence olarak da adlandırılan bu yaklaşım, finansal denetimde kullanılan pozitif güvenceden (reasonable assurance) daha az kapsamlıdır.

Sınırlı güvencede denetçinin yapacakları şunlardır:

• Temel veri sistemleri ve süreçleri inceleme
• Kilit personelle görüşmeler
• Hesaplamaların mantıksal tutarlılığını test etme
• Sınırlı analitik prosedürler uygulama

Makul Güvence (Reasonable Assurance)

İkinci aşama olan makul güvence (reasonable assurance), Avrupa Komisyonu'nun ilerleyen dönemde zorunlu kılmayı planladığı daha kapsamlı güvence düzeyidir. Finansal denetime eşdeğer bu süreç, örnekleme, kanıt toplama ve kapsamlı test prosedürleri gerektirmektedir.

Güvence Sağlayıcılar: Kim Denetleyebilir?

CSRD, sürdürülebilirlik bilgilerini kimin denetleyebileceğini özel olarak düzenlemektedir.

Bağımsız Denetim Firmaları

Finansal denetimi gerçekleştiren bağımsız denetim firmaları (Big 4 ve diğer lisanslı denetçiler), CSRD güvence hizmetleri sunabilmektedir. Birçok şirket için mevcut finansal denetçiyle aynı firmayı kullanmak entegrasyon kolaylığı sağlamaktadır.

Bağımsız Güvence Hizmet Sağlayıcılar

AB üye devletlerinin yetkili kıldığı bağımsız güvence hizmet sağlayıcıları da CSRD denetimi yapabilir. Bu sağlayıcılar özellikle sürdürülebilirlik konularında uzmanlaşmış danışmanlık firmalarını içermektedir.

İç Kontrol Gereksinimleri

CSRD güvencesine hazırlığın en kritik boyutu iç kontrol mekanizmalarının kurulmasıdır. Finansal raporlamada köklü bir geleneği olan iç kontrol kültürünün sürdürülebilirlik verilerine uyarlanması gerekmektedir.

Veri Kalitesi Kontrolleri

Her veri noktası için şu sorular yanıtlanabilmeli ve belgelenebilmelidir:

• Veri kaynağı nedir?
• Veri nasıl toplanmaktadır?
• Kim doğrulamaktadır?
• Hata ve anormallik tespiti nasıl yapılmaktadır?

Sera gazı envanteri için örnek iç kontrol mekanizmaları şunlardır: enerji fatura verilerinin sözleşme verileriyle çapraz kontrolü, emisyon faktörü güncellemelerinin kayıt altına alınması ve yıllık tutarlılık analizleri.

Hesaplama Metodolojisi Belgelenmesi

Kullanılan tüm hesaplama metodolojileri yazılı biçimde belgelenmelidir. Karbon ayak izi hesaplamaları için emisyon faktörü kaynakları, Scope 3 kategori seçim gerekçeleri ve değer zinciri sınır belirleme kararları denetçilere sunulacak temel belgeler arasındadır.

İzin ve Onay Süreçleri

Hangi verinin kim tarafından onaylandığı, hangi düzeltmelerin yapılıp yapılamayacağı ve raporlama sürecindeki yetki sınırları net biçimde tanımlanmalıdır.

Güvence Kapsamı: Nelerin Denetleneceği

CSRD güvencesi, raporun tamamını değil ESRS'nin öngördüğü açıklamaları kapsamaktadır. Denetçi şu unsurları değerlendirir:

Niteliksel Bilgiler:

• Politikalar ve taahhütlerin tutarlılığı
• Yönetişim yapısının açıklamaları
• Strateji ve hedeflerin gerçekçiliği

Nicel Veriler:

• Emisyon miktarları ve hesaplama metodolojileri
• Enerji, su ve atık verileri
• Çalışan sayıları, ücret oranları ve iş güvenliği verileri
• Cinsiyet eşitliği ölçütleri

Süreç ve Prosedürler:

• Önemlilik değerlendirme sürecinin belgelenmesi
• Değer zinciri veri toplama yöntemleri
• İç kontrol mekanizmalarının etkinliği

Denetim Hazırlığı: Pratik Adımlar

1. Denetçiyle Erken Diyalog

Güvence sürecini raporlama döneminin sonuna bırakmak en yaygın hatalardan biridir. Denetçiyle yıl başından itibaren düzenli iletişim kurulmalı; önemlilik değerlendirmesi, metodoloji seçimleri ve iç kontrol tasarımı konularında önceden mutabık kalınmalıdır.

2. Hata Riski Değerlendirmesi

Finansal denetimde kullanılan hata riski (risk of material misstatement) kavramı sürdürülebilirlik raporlamasına da uyarlanmaktadır. Hangi veri noktalarının hata, tahmini veya yorum riski taşıdığı belirlenip bu alanlara özel kontroller tasarlanmalıdır.

3. Belgeleme Portföyü Hazırlama

Denetçiye sunulacak belgeler önceden düzenlenmelidir. Tipik bir belgeleme portföyü şunları içerir:

• Önemlilik değerlendirme raporu ve paydaş katılım kanıtları
• Metodoloji notları ve hesaplama şablonları
• Veri kaynak belgeleri (faturalar, ölçüm raporları, sözleşmeler)
• İç kontrol tanımlamaları
• Düzeltme ve revizyon kayıtları

4. İç Denetim Entegrasyonu

Mevcut iç denetim fonksiyonu, sürdürülebilirlik veri süreçlerini değerlendirmek üzere yeniden yapılandırılabilir. İç denetimin süreci önceden test etmesi, bağımsız güvence sürecini hızlandırmakta ve maliyetleri azaltmaktadır.

Yaygın Güvence Bulguları ve Önleyici Tedbirler

Sürdürülebilirlik güvence süreçlerinde en sık karşılaşılan bulgular şunlardır:

Bulgu Türü	Açıklama	Önleyici Tedbir
Veri tutarsızlığı	Farklı bölümlerden çelişkili veriler	Merkezi veri yönetim sistemi
Sınır belirleme hatası	Kapsam dışı tesisin dahil edilmesi	Kapsam belgesi onay süreci
Metodoloji değişikliği	Açıklanmadan yöntem değiştirme	Değişiklik yönetim politikası
Tedarikçi veri boşluğu	Scope 3 için eksik tedarikçi verileri	Tedarikçi veri toplama süreci
Hedef tanım belirsizliği	Ölçülemeyen sürdürülebilirlik hedefleri	SMART hedef çerçevesi

Güvence Maliyetleri ve Süre

Sürdürülebilirlik güvencesi, şirketin büyüklüğüne, raporlama kapsamına ve iç kontrol olgunluğuna bağlı olarak önemli ölçüde farklılaşmaktadır.

Büyük çok uluslu şirketler için sınırlı güvence maliyeti genellikle 100.000-500.000 Euro aralığında seyrederken orta ölçekli şirketler için 30.000-100.000 Euro aralığında olması beklenmektedir.

Güvence süresinin planlaması açısından şu zaman çizelgesi önerilmektedir:

• Ön değerlendirme ve boşluk analizi: Raporlama yılından 6-12 ay önce
• Ara dönem güvence çalışması: Raporlama döneminin ortasında
• Nihai güvence: Mali yıl sonu sonrası 3-4 ay içinde
• Rapor yayımı: Yasal süre dahilinde

CSRD Denetimi ve ISO 14064 İlişkisi

ISO 14064-3 doğrulama standardı ile CSRD güvence süreci arasında önemli metodolojik benzerlikler bulunmaktadır. Sera gazı envanterini ISO 14064-3 kapsamında doğrulatan şirketler, CSRD güvence sürecine önemli avantajla girmektedir.

İki süreç arasındaki temel farklar şunlardır: CSRD güvencesi daha geniş bir veri setini kapsar (yalnızca emisyonları değil tüm ESRS veri noktalarını); ISO 14064 doğrulaması ise emisyon envanterine odaklanır ve uluslararası geçerliliği olan bir sertifikasyon mekanizması sunar.

Avrupa Denetim Standartları

Avrupa Komisyonu, CSRD güvencesi için özel denetim standartları geliştirme sürecini yönetmektedir. Bu çalışma kapsamında IAASB'nin (International Auditing and Assurance Standards Board) ISSA 5000 standardının Avrupa versiyonu hazırlanmaktadır. Şirketlerin bu standart geliştirme sürecini takip etmesi önerilmektedir.

Sıkça Sorulan Sorular

CSRD güvencesi kimler tarafından zorunlu tutulmaktadır? CSRD kapsamındaki tüm şirketler için bağımsız güvence zorunludur. İlk aşamada sınırlı güvence, ilerleyen dönemde makul güvence öngörülmektedir.

Mevcut finansal denetçim CSRD denetimini de yapabilir mi? Evet, bağımsız denetim firmaları CSRD güvence hizmetleri sunabilir. Ancak yeterli sürdürülebilirlik uzmanlığına sahip olmaları gerekir.

Sınırlı güvence ile makul güvence arasındaki pratik fark nedir? Sınırlı güvencede denetçi "ciddi bir hata olmadığını" beyan eder; makul güvencede ise daha kapsamlı testlerle "bilgilerin doğru olduğuna" dair pozitif bir görüş açıklar.

CSRD denetim sürecinde en çok hangi alanda sorun yaşanmaktadır? Scope 3 tedarik zinciri verileri ve biyoçeşitlilik ölçütleri, olgunluğu en düşük alanlardır. Bu konularda erken hazırlık büyük avantaj sağlar.

CSRD güvencesi için iç kontrol altyapısı hazırlamak ne kadar sürer? Sıfırdan başlayan bir şirket için kapsamlı bir iç kontrol altyapısı kurulması genellikle 12-18 ay gerektirmektedir.

Sonuç

CSRD denetim ve güvence süreci, sürdürülebilirlik raporlamasını bir iletişim faaliyeti olmaktan çıkarıp finansal raporlamaya eşdeğer bir hesap verebilirlik mekanizmasına dönüştürmektedir. Güvence sürecine başarıyla hazırlanan şirketler yalnızca yasal uyumluluğu sağlamakla kalmaz; aynı zamanda veri kalitesini, iç süreç olgunluğunu ve paydaş güvenini de önemli ölçüde artırır.

CarbonEmit, CSRD güvence hazırlığı konusunda iç kontrol tasarımı, veri kalitesi iyileştirme ve denetçi koordinasyonu hizmetleri sunmaktadır. Detaylı bilgi için carbonemit.com adresimizi ziyaret edin.

---

İlgili Makaleler:

• CSRD Kurumsal Sürdürülebilirlik Raporlama Direktifi
• ISO 14064 Doğrulama Süreci
• Sera Gazı Envanter Yönetimi
• GHG Protokolü Nedir?