Vapaaehtoisen vastuullisuusraportin varmennus ei ole rastien merkitsemistä valmiiseen tarkistuslistaan. Siinä on kyse yrityksen toiminnan, raportoinnin käyttäjien ja tuotetun tiedon ymmärtämisestä. Mitä yrityksen kannattaa tietää varmennuksesta ja miten siihen voi valmistautua?
Yritysten kiinnostus vapaaehtoisesti laadittavia vastuullisuusraportteja sekä niiden varmennusta kohtaan vaikuttaa kasvavan. Kokemuksemme mukaan kiinnostuksen heräämiseen on voinut vaikuttaa esimerkiksi asiakkailta, toimittajilta tai muilta sidosryhmiltä saatu palaute. Toisaalta myös yrityksen oma-aloitteisuus sekä kunnianhimo raportoida vastuullisuusasioista on vaikuttanut kiinnostukseen.
Tässä blogissa asiantuntijamme, Moore Idmanin toimitusjohtaja, KHT, KRT, CIA Jussi Savio käy läpi, mistä vapaaehtoisesti laadittavan vastuullisuusraportin varmennuksessa on kyse, mitä yrityksen tulee siitä tietää ja kuinka valmistautua.
Ensin valitaan sopiva viitekehys raportointiin
Yrityksen tulee valita raportoinnille sopiva viitekehys, joita alalla on useita erilaisia. Kuitenkin pk-yritykselle luontevin vaihtoehto on VSME-standardi.
VSME-standardin mukaan yritys voi valita raportointinsa pohjaksi joko ns. perusosan eli ”Basic Modulen” tai myös sitä täydentävän laajennetun osan, eli ”Comprehensive Modulen”. Valinta kannattaa suhteuttaa yrityksen toimintaan, raportoinnin tavoitteisiin sekä siihen, millaista tietoa keskeiset sidosryhmät yritykseltä odottavat.
Viitekehyksen valinta on ensiarvoisen tärkeä myös varmennuksen kannalta, koska se muodostaa arviointiperustan, johon raportissa esitettyjä tietoja verrataan.
Raportoidun tiedon pitää olla jäljitettävissä alkuperäiseen lähteeseen
Tiedonkeruun ei tarvitse välttämättä perustua erilliseen tieto- tai raportointijärjestelmään. Olennaisinta on, että tiedot kerätään johdonmukaisesti, vastuut on määritelty ja raportissa esitetyn tiedon sekä sen alkuperäisen lähteen välillä on yhteys.
Varmentajan näkökulmasta raportoidun tiedon kulkua pitää pystyä seuraamaan lähdejärjestelmästä tai alkuperäisestä dokumentista laskentaan, konsolidointiin ja lopulta julkaistuun raporttiin saakka. Tätä kutsutaan usein myös ns. audit trailiksi eli tiedon jäljitettävyydeksi.
Käytännössä varmentaja pyrkii ymmärtämään muun muassa, kuka tiedon on tuottanut, kuka sen on tarkistanut, millaisia laskentasääntöjä on käytetty ja miten tietoja on yhdistelty eri yhtiöistä tai toimipaikoista.
Mitä selkeämmin prosessi on yrityksessä suunniteltu ja dokumentoitu, sitä sujuvammin myös varmennus yleensä etenee.
Mitä varmennuksessa käytännössä tehdään?
Käytännössä vastuullisuusraportin varmennusprosessi muistuttaa monilta osin tilintarkastusta. Työ alkaa toimeksiannon hyväksymisestä ja yrityksen toiminnan sekä raportointiprosessin ymmärtämisestä. Tämän jälkeen arvioidaan mm. raportointiin liittyviä riskejä, suunnitellaan tarvittavat toimenpiteet, hankitaan varmennusevidenssiä ja muodostetaan johtopäätös.
Käytännön varmennustoimenpiteisiin voivat kuulua esimerkiksi:
- yrityksen johdon sekä raportin laatimisesta vastaavien henkilöiden haastattelut
- raportointiohjeiden ja tiedonkeruuprosessin läpikäynti
- toimipaikkavierailut
- raportoitujen tietojen oikeellisuuden ja täydellisyyden testaaminen otannalla
- lukujen täsmäyttäminen alkuperäisiin dokumentteihin ja järjestelmiin
- tietojen yhdistelyn ja laskentakaavojen testaaminen
- keskeisten laskelmien uudelleenlaskenta
- erilaisten ”väittämien” todentaminen niitä tukevalla dokumentaatiolla
- raportin rakenteen, esittämistavan ja sisäisen johdonmukaisuuden arviointi.
Varmuustaso määrittää varmennuksen laajuutta
Vapaaehtoisen vastuullisuusraportin varmennus toteutetaan tyypillisesti rajoitetun varmuuden toimeksiantona kansainvälisen ISAE 3000 -standardin mukaisesti. Rajoitetun varmuuden toimeksiannossa varmentajan toimenpiteet ovat suppeampia kuin esimerkiksi kohtuullisen varmuuden toimeksiannossa.
Varmuustasosta on hyvä keskustella jo toimeksiannon alussa. Yrityksen on hyvä ymmärtää sekä se, mitä rajoitettu varmuus tarkoittaa, että se, mitä se ei tarkoita.
Pienikin virhe voi olla laadullisesti olennainen
Vaikka VSME-standardi ei edellytä erillisen olennaisuusanalyysin tekemistä, ISAE 3000:n mukaisessa varmennuksessa olennaisuus on aina otettava huomioon toimeksiantoa suunniteltaessa, varmennustoimenpiteitä suoritettaessa ja havaittuja virheitä arvioitaessa.
Varmentajan näkökulmasta, olennaisuuden arviointia voi lähestyä esimerkiksi kysymyksellä: ”Minkä suuruisen tai luonteisen virheen jälkeen raportin käyttäjän päätös tai käsitys yrityksestä voisi muuttua?”
Olennaisuus ei siten ole esimerkiksi pelkkä prosenttilaskelma. Pienikin virhe voi olla laadullisesti olennainen, jos se esimerkiksi muuttaa raportin keskeistä ”viestiä”, vaikuttaa rahoitusehtoon tai liittyy muuten yrityksen kannalta erityisen herkkään tai olennaiseen aiheeseen.
Vastuullisuusraportti sisältää usein paljon muutakin kuin numeroita. Raportissa voidaan esimerkiksi todeta, että ”kaikki käytetty sähkö on uusiutuvaa”, ”päästöt ovat vähentyneet” tai ”toimitusketjumme toimii vastuullisesti”.
Tällöin on tärkeää huomioida yksi VSME-standardin keskeisistä periaatteista, eli tiedon todennettavuus.
Hyvä muistisääntö on, että jokaiselle olennaiselle väittämälle tulee olla perusteet, ja että väittämän tueksi voidaan tarvittaessa osoittaa dokumentti, laskelma tai muu evidenssi.
Ei etsitä virheitä virheiden vuoksi
Varmennuksessa tarvitaan tilintarkastuksen tavoin kriittistä ajattelua ja ammatillista skeptisyyttä, mutta ne eivät luonnollisesti tarkoita esimerkiksi epäluottamusta.
On hyvä myös muistaa, että varmentajan tehtävä ei ole esimerkiksi etsiä virheitä niiden itsensä vuoksi. Tavoitteena on muun muassa lisätä raportin käyttäjien luottamusta ja samalla auttaa yritystä rakentamaan aiempaa luotettavampaa raportointiprosessia.
Vapaaehtoisen vastuullisuusraportin varmennus ei ole rastien merkitsemistä valmiiseen tarkistuslistaan. Se on yrityksen toiminnan, raportoinnin käyttäjien ja tuotetun tiedon ymmärtämistä. Juuri tämä tekee työstä myös erityisen kiinnostavaa.
Jos yrityksessänne pohditaan vapaaehtoista vastuullisuusraportointia tai raportin varmennusta, keskustelemme mielellämme siitä, millainen lähestymistapa sopisi juuri teidän tilanteeseenne.
