Status

Vi observerer i dag internasjonalt at stadig flere selskaper innhenter en uavhengig uttalelse om sin bærekraftrapport. En uavhengig uttalelse øker tilliten til rapportert informasjon og medfører trolig også mer nøyaktig og pålitelig informasjon. En bærekraftrapport inneholder informasjon om organisasjonens økonomiske, miljømessige og sosiale forhold og resultater, og er en måte for selskapet å vise sitt engasjement og sin forpliktelse overfor både interne og ekstern interessenter. Ifølge GRIs Sustainability Disclosures Database i 2012, var det gitt en eller annen form for attestasjonsuttalelse for mer enn 46 % av rapportene (Global Reporting Initiative). Selv om man internasjonalt ser en tydelig økning i uttalelser om bærekraftrapporter, er ikke dette like tydelig i Norge. Tabellen nedenfor viser utviklingen i antall attesterte bærekraftrapporter i Norden, hvor Norge har den laveste prosentandelen i Norden i 2010 med sine 23 % (CSR and beyond – a Nordic perspective, 2013).

I EYs Corporate Governance-undersøkelse for 2013, en undersøkelse av årsrapporter for regnskapsåret 2012, fremkommer det at mange selskaper gir en beskrivelse av sitt arbeid tilknyttet samfunnsansvar og bærekraft i tillegg til kvantitative resultater på sitt arbeid innenfor området (EY, 2013). Mangel på en uavhengig uttalelse av bærekraftrapporten vil imidlertid kunne svekke tilliten til den rapporterte informasjonen, som dermed vil være mindre relevant for investorer og andre brukere. På lik linje med at en revisjonsberetning gir investorer og andre regnskapsbrukere tillit til den finansielle informasjonen, vil en ekstern uttalelse om bærekraftrapporten gi økt trygghet til brukerne av den ikke-finansielle informasjonen.

Drivere for attestasjonsuttalelser

For øyeblikket ser vi særlig to drivere for innhenting av eksterne uttalelser om rapportert bærekraftinformasjon:

• Investorer krever i økende grad pålitelig og sammenlignbar ikke-finansiell informasjon på lik linje med den finansielle, noe som har resultert i en økt interesse for at bærekraftinformasjonen attesteres av en uavhengig tredjepart. Vi ser også en økt interesse for ekstern attestasjon av indikatorer og påstander knyttet til leverandørstyring (Global Reporting Initiative), i tillegg til at The Global Reporting Initiative (GRI, G4) anbefaler at det innhentes en ekstern uttalelse av bærekraftinformasjonen.

• Nye krav til rapportering om bærekraft i regnskapslovens § 3–3 c. Fra og med regnskapsåret 2013 skal styrets underskrift på årsberetningen også omfatte bærekraftrapporteringen (rskl. § 3–5). Regnskapslovens § 3–3 c inneholder nye krav til rapportering på «samfunnsansvar», som i regnskapslovens forstand omfatter områdene menneskerettigheter, arbeidstakerrettigheter og sosiale forhold, det ytre miljø og bekjempelse av korrupsjon.De nye bestemmelsene krever ingen uttalelse fra revisor, men revisor skal vurdere om redegjørelsen for samfunnsansvar etter regnskapsloven § 3–3c er konsistent med årsregnskapet. Styrets ansvar vil kunne medføre at styrene vil etterspørre gjennomgang og separate uttalelser fra revisor om bærekraftinformasjon for å gi dem økt trygghet.

  Tabell 1: Antall bærekraftrapporter med ekstern uttalelse i Norden 2001 vs. 20101
  	2001			2010
  	Antall publiserte bærekraft-rapporter	Antall attesterte bærekraftrapporter	Prosentandel av rapporter med attestasjon	Antall publiserte bærekraftrapporter	Antall attesterte bærekraftrapporter	Prosentandel av rapporter med attestasjon
  Norge	35	8	23	52	12	23
  Sverige	37	6	16	163	49	30
  Danmark	26	16	62	74	20	25
  Finland	27	6	22	71	19	27

Standarder og retningslinjer for attestasjon av bærekraftrapporter

Ettersom attestasjon av bærekraftrapporter ikke er lovpålagt, anvendes det ulike standarder som ISAE 3000 eller AA1000AS. Flere ulike tilbydere av eksterne uttalelser og et variert omfang av informasjonen som det avgis en uttalelse på, reduserer sammenlignbarheten av uttalelsene på tvers av selskaper. Som figuren nedenfor viser, leveres tjenesten av flere tilbydere, med ulike prosedyrer og tilnærminger. Den ulike praksisen kan skape en del forvirring og i verste fall føre til feiloppfatninger av grad av sikkerhet og hvilke deler av bærekraftinformasjonen som faktisk er bekreftet.

I Norge benyttes stort sett ISAE 3000 Attestasjonsoppdrag som ikke er revisjon eller forenklet revisorkontroll av historisk finansiell informasjon ved ekstern uttalelse om bærekraftrapporten. Etter ISAE 3000 kan det enten være «attestasjonsoppdrag som skal gi høy sikkerhet» eller «attestasjonsoppdrag som skal gi moderat sikkerhet». «Høy sikkerhet» er svakere enn absolutt sikkerhet. I Norge er det vanligste moderat sikkerhet, mens vi i andre land ofte ser en kombinasjon der revisor gir høy sikkerhet på utvalgt informasjonen og moderat sikkerhet på øvrige deler. Ved moderat sikkerhet uttaler revisor at «… vi har ikke har blitt oppmerksom på noe som gir oss grunn til å tro at informasjonen ikke er i samsvar med angitte kriterier…».

Ved anvendelse av ISAE 3000, må praktiserende revisorer overholde kravene i God revisorskikk og DnRs etiske regler, herunder krav til uavhengighet, slik at brukerne kan ha tillit til rapportens objektivitet. ISAE 3000.18 og 19 innebærer at revisor må vurdere om saksforholdet er egnet og om kriteriene er egnet til å vurdere og måle saksforholdet. Etablerte kriterier er vanligvis egnet når de er relevante for behovene til de tiltenkte brukerne. GRIs retningslinjer er de mest brukte retningslinjene for bærekraftrapportering og inneholder prinsipper og indikatorer egnet for å måle og rapportere selskapets økonomiske og miljø- og samfunnsmessige resultater.

Vesentlighetsprinsippet er sentralt i GRI på samme måte som i ISAE 3000. De områdene som skal omfattes av revisors uttalelse, bør samsvare med de aspektene som er definert som vesentlige for både selskapet og dets nøkkelinteressenter. Selskapet bør også fokusere på å rapportere på de vesentlige og forretningskritiske bærekraftaspektene. Revisor må gjøre en vesentlighets- og risikovurdering for å sikre at man fokuserer på de områdene som er mest risikoutsatte og/eller viktigst for selskapet og interessentene. For et konsern vil dette også innebære vurdering av hvilke konsernenheter som ansees å være vesentlig utfra størrelse og risiko.

En viktig forskjell mellom bærekraft og finansiell informasjon, er at det eksisterer veletablerte prosedyrer for måling og rapportering av finansiell informasjon, mens dette ikke er like klart for bærekraftinformasjonen. Bærekraftinformasjonen inneholder typisk både kvantitative og kvalitative påstander, i motsetning til finansiell informasjon som primært er kvantitativ. Kvantitativ bærekraftinformasjon kan eksempelvis være energiforbruk og CO₂-utslipp, sykefravær, eller antall opplæringsaktiviteter, mens den kvalitative informasjonen kan være ulike påstander knyttet til eksempelvis utarbeidelse av policyer og prosedyrer, tiltak for å redusere sykefravær eller bekjempelse av korrupsjon osv. Den kvantitative informasjonen kan kontrolleres ved bruk av tilsvarende metoder som ved en finansiell revisjon, men de kvalitative opplysningene krever større grad av skjønnsmessige vurderinger hva gjelder tilstrekkelig bevis. Internkontrollen og de interne rapporteringsprosessene knyttet til bærekraftrapporteringen er også ofte mind­re utviklet enn de finansielle rapporteringsprosessene som er lovpålagt, og de rapporteres ofte kun årlig. Praktiserende revisor skal i samsvar med ISAE 3000.33 anvende profesjonelt skjønn og ha en profesjonelt skeptisk holdning ved vurdering av kvantiteten av og kvaliteten på bevis, og derved også dets tilstrekkelighet og hensiktsmessighet, for å underbygge attestasjonsuttalelsen. Dette kan medføre ulik praksis blant revisorene med tanke på risikovurdering, omfang av handlinger og vurdering av bevis.

Både attestasjonsoppdrag som skal gi høy grad av sikkerhet, og attestasjonsoppdrag som skal gi moderat grad av sikkerhet, krever at det anvendes attestasjonsferdigheter- og teknikker. Det skal innhentes tilstrekkelig og hensiktsmessig bevis som en del av en gjentakende, systematisk oppdragsprosess, som omfatter opparbeidelse av en forståelse av saksforholdet og andre omstendigheter ved oppdraget. Revisor må anvende profesjonelt skjønn og ha en profesjonelt skeptisk holdning ved vurdering av kvantiteten av og kvaliteten på bevis, og derved også dets tilstrekkelighet og hensiktsmessighet, for å underbygge attestasjonsuttalelsen.

Grad av sikkerhet påvirker selvfølgelig de handlingene revisor må utføre. På et attestasjonsoppdrag som skal gi høy sikkerhet, er innhenting av tilstrekkelig og hensiktsmessig bevis en del av en gjentakende og systematisk oppdragsprosess som går ut på:

1. Å skaffe seg en forståelse av saksforholdet og andre omstendigheter ved oppdraget som, avhengig av saksforholdet, innebærer å skaffe seg en forståelse av intern kontroll,

2. basert på denne forståelsen, vurdere risikoen for at informasjonen om saksforhold kan inneholde feilinformasjon som kan være vesentlig,

3. håndtere vurderte risikoer, herunder å utarbeide overordnet håndtering samt fastsette arten, tidspunktet for og omfanget av videre handlinger,

4. gjennomføre videre handlinger som er tydelig knyttet til de identifiserte risikoene ved å bruke en kombinasjon av inspeksjon, observasjon, bekreftelse, kontrollberegning, gjentakelse, analytiske handlinger og forespørsler. Slike videre handlinger omfatter substanskontroller, herunder innhenting av bekreftende informasjon fra kilder som er uavhengige av foretaket, og avhengig av saksforholdets art, tester av kontrolltiltakenes måleffektivitet, og

5. vurdere tilstrekkeligheten og hensiktsmessigheten av bevis (ISAE 3000.35).

Arten, tidspunktet for og omfanget av handlinger for innhenting av tilstrekkelig og hensiktsmessig bevis på et attestasjonsoppdrag som skal gi moderat sikkerhet, er mer begrenset i forhold til et attestasjonsoppdrag som skal gi høy sikkerhet. Siden det ikke foreligger spesifikke standarder som gir veiledning om handlinger for innhenting av tilstrekkelig og hensiktsmessig bevis for et attestasjonsoppdrag som skal gi moderat sikkerhet, vil handlingene for innhenting av tilstrekkelig og hensiktsmessig bevis avhenge av omstendighetene ved oppdraget, saksforholdet og behovene til de tiltenkte brukerne og den engasjerende part, herunder relevante tids- og kostnadsbindinger (ISAE 3000.37).

Tilstrekkelighet er målet på kvantiteten av bevis, mens hensiktsmessighet er målet på bevisets kvalitet, det vil si dets relevans og pålitelighet. Bevis for kvantitative bærekraftdata som energiforbruk og CO₂-utslipp kan eksempelvis innebære underliggende fakturaer på energiforbruk, eller måleravlesninger, for å sikre pålitelighet og relevans. Bevis på antall leverandørrevisjoner og opplæring i anti-korrupsjon kan henholdsvis innebære endelige leverandørrevisjonsrapporter og deltakerlister fra opplæringssesjoner. Dersom revisor eller andre avdekker svakheter i rapportert informasjon eller internkontroll, vil dette være eksempel på omstendigheter som vil tilsi krav til ytterligere handlinger og innhenting av bevis.

Tilstrekkelig og hensiktsmessig bevis for kvalitative påstander i bærekraftrapporten vil i større grad variere på tvers av vesentlige bærekraftaspekter og selskap. Siden informasjonen i bærekraftrapportene i stor grad er kvalitativ, kan høy grad av sikkerhet medføre svært omfattende arbeid for å bekrefte/verifisere påstander. Grad av sikkerhet kan derfor ofte bli en kost-nytte-vurdering for selskaper og interessenter.

Muligheter for videreutvikling

Mangel på en felles global standard for ikke-finansiell rapportering, i tillegg til muligheten for å legge ulike standarder til grunn for en uavhengig uttalelse om bærekraftinformasjonen, påvirker sammenlignbarheten og verdien av den ikke-finansielle informasjonen.