Risikobasert standard

ISAE 3410 er risikobasert som de andre attestasjonsstandardene. For klart å skille mellom oppdrag med betryggende og moderat sikkerhet, er punkter i standarden som omhandler de forskjellige krav vist i to kolonner og markert med bokstaven M (moderat sikkerhet) og B (betryggende sikkerhet). De to formene for oppdrag en presentert hver for seg for å gjøre det klart hvilke krav som gjelder for hvilke typer oppdrag, og for å gjøre det enkelt å identifisere forskjellene mellom oppdragstypene.

Spesielt på tre hovedområder er det betydelige skiller mellom oppdrag med moderat og betryggende sikkerhet.

Forståelse av virksomheten og dens omgivelser

Revisor utøver profesjonelt skjønn for å ta standpunkt til hvor mye kunnskap revisor må skaffe seg og typen, tidspunktet for og omfanget av handlinger for å identifisere og vurdere risikoer for vesentlig feilinformasjon for å oppnå henholdsvis betryggende eller moderat sikkerhet. Dybden av forståelsen som kreves av revisor, er mindre for et attestasjonsoppdrag som skal gi moderat sikkerhet, enn for et attestasjonsoppdrag som skal gi betryggende sikkerhet.

For et attestasjonsoppdrag som skal gi moderat sikkerhet, er det ikke krav om at revisor skal skaffe seg en forståelse av alle komponentene i internkontrollen, og revisor behøver ikke evaluere design og implementering av kontrollen.

Identifisering og vurdering av risikoen for vesentlig feilinformasjon i klimagassrapporten

Risikoer for vesentlig feilinformasjon i en klimagassrapport omfatter risikoer som er betydningsfulle for klimagassrapporten sett under ett. Disse risikoene er ikke nødvendigvis risikoer som er knyttet til bestemte typer utslipp eller tilleggsopplysninger om disse i rapporten. Risikoene representerer i stedet omstendigheter som kan øke risikoene for vesentlig feilinformasjon mer generelt, for eksempel at ledelsen overstyrer internkontrollen. Risikoer for vesentlig feilinformasjon på klimagassrapportnivå kan fremfor alt være relevant for revisors vurdering av feil som skyldes misligheter.

Forskjellen mellom oppdrag med moderat sikkerhet og oppdrag med betryggende sikkerhet, er at revisor på et oppdrag med moderat sikkerhet ikke behøver å identifisere risikoer for vesentlig feilinformasjon på påstandsnivå og i tilleggsopplysninger, slik han må på et oppdrag med betryggende sikkerhet.

Handlinger for å håndtere anslåtte risikoer

Siden graden av sikkerhet som skal oppnås ved et attestasjonsoppdrag som skal gi moderat sikkerhet, er lavere enn ved et attestasjonsoppdrag som skal gi betryggende sikkerhet, vil typen handlinger som revisor utfører, være forskjellige fra handlingene ved gjennomføring av et attestasjonsoppdrag som skal gi betryggende sikkerhet. Omfanget av de valgte handlinger vil også være mindre. De viktigste forskjellene mellom et attestasjonsoppdrag som skal gi betryggende sikkerhet, og et attestasjonsoppdrag som skal gi moderat sikkerhet, er:

• Vektleggingen av typen handlinger som utføres for å innhente bevis, vil etter all sannsynlighet være forskjellig, avhengig av omstendighetene rundt oppdraget. For eksempel:

  • Revisor vil ved et attestasjonsoppdrag som skal gi moderat sikkerhet, legge mer vekt på forespørsler til virksomhetens medarbeidere og på analytiske handlinger, og mindre eller ingen vekt på tester av kontroller og innhenting av bevis fra eksterne kilder.

  • Hvis virksomheten bruker utstyr for kontinuerlig måling for å kvantifisere utslippsstrømmer, kan revisor ved utføring av et attestasjonsoppdrag som skal gi moderat sikkerhet, beslutte å håndtere en anslått risiko for vesentlig feilinformasjon ved hjelp av forespørsler om hvor ofte utstyret kalibreres.

  • Hvis virksomheten forbrenner kull, kan revisor beslutte at en gjennomgåelse av virksomhetens registrerte laboratorietestresultater er tilstrekkelig for å håndtere en anslått risiko for feilinformasjon ved utføring av et attestasjonsoppdrag som skal gi moderat sikkerhet.

• Omfanget av videre handlinger som utføres i forbindelse med et attestasjons­­oppdrag som skal gi moderat sikkerhet, vil være mindre enn ved et attestasjonsoppdrag som skal gi betryggende sikkerhet.

• Likheter mellom de to oppdragstypene

• Selv om det er betydelige forskjeller i arbeidet som utføres mellom de to forskjellige oppdragstypene, er det også viktig å understreke at det er flere krav som er identiske. Ferdighetene, kunnskapen og erfaringen som kreves på et oppdrag med moderat sikkerhet, er identisk med det som kreves på et med betryggende sikkerhet.

• Forhåndsbetingelsene som skal ligge til grunn, er identiske på de to oppdragene.

• Når revisor vurderer om kriteriene som det rapporteres etter, er egnede, er det slik at dersom kriteriene ikke er egnet for et oppdrag med betryggende sikkerhet, så er de heller ikke egnet for et oppdrag med moderat sikkerhet.

• Beslutninger om vesentlighet påvirkes ikke av graden av vesentlighet.

Tre typer klimagassutslipp

Standarden deler klimagassutslippene i tre typer:

• Direkte utslipp (type 1-utslipp), som er utslipp fra kilder som eies eller kontrolleres av virksomheten.

• Indirekte utslipp, som er utslipp som er en følge av virksomhetens aktiviteter, men som oppstår fra kilder som eies eller kontrolleres av en annen virksomhet. Indirekte utslipp kan videre deles inn i:

  • Type 2-utslipp, som er utslipp knyttet til energi som overføres til og forbrukes av virksomheten

  • Type 3-utslipp, som er alle andre indirekte utslipp

Ny standard for et nytt område

Det er visse elementer i ISAE 3410 som gjør at den skiller seg fra andre standarder for attestasjonsoppdrag avgitt av IAASB. IAASB har forsøkt å ta hensyn til dette ved å gi mer spesifikk veiledning om bruken av «multidisiplinære team», «usikkerhet om kvantifisering» og «handlinger på stedet» enn i øvrige standarder.

Multidisplinære team

Det forventes at de fleste oppdragene som gjøres etter ISAE 3410, er sammensatt av multidisiplinære team, som inkluderer en eller flere eksperter. Teamet må kollektivt ha tilstrekkelig profesjonell kompetanse til å kunne gjennomføre attestasjonsopp­draget. Nødvendig kompetanse vil kunne inkludere følgende:

• Attestasjonsferdigheter

• Kompetanse rundt lover og regler som regulerer rapportering av klimagassutslipp

• Spesialkompetanse innen kvantifisering og rapportering av utslipp

Usikkerhet rundt kvantifisering

Det ligger en iboende usikkerhet i kvantifisering av mengde og type klimagassutslipp. Som hovedregel består denne usikkerheten av to komponenter:

• Vitenskapelig usikkerhet. Denne usikkerheten skyldes ufullstendig vitenskapelig kunnskap om måling av klimagasser.

• Estimeringsusikkerhet (eller målings­usikkerhet). Denne usikkerheten er knyttet til målings- og beregnings­prosessene som brukes til å kvantifisere utslipp innenfor grensene av eksisterende vitenskapelig kunnskap.

Handlinger på stedet

Utføring av observasjon og inspeksjon eller andre handlinger på et anleggssted (ofte omtalt som «stedsbesøk»), kan være viktig for å underbygge den forståelsen av virksomheten som revisor opparbeider seg ved å utføre handlinger på hovedkontoret.

Standarden gir praktisk veiledning for stedsbesøk og for revisors vurdering av om det skal foretas stedsbesøk.

Fremover

De siste årene har det vært betydelig fokus på miljø og utslipp. Flere aktører rapporterer nå om sine utslipp som en del av årsrapporteringen, noen publiserer informasjon separat, og noen gir informasjon som del av et kvotehandelssystem.

Når vi ser en økning i publisering av slik informasjon, er det også flere selskaper som ønsker å få opplysningene bekreftet av en annen part som en del av en bredere miljørapportering i tillegg til det som eventuelt fremkommer i årsregnskapet. Nå som ISAE 3410 er på plass, har revisor et verktøy for å løse slike oppgaver.