Pista de auditoría CSRD

Cómo funciona

La pista de auditoría CSRD registra cada paso desde el dato bruto hasta la cifra reportada. Esto incluye: (1) la identificación de la fuente de datos, (2) los cálculos o transformaciones aplicados, (3) quién revisó y aprobó cada paso, (4) cuándo ocurrió y (5) cualquier ajuste o exclusión.

El artículo 10 de la CSRD exige que la organización mantenga documentación que respalde cada aseveración de datos. En la práctica, eso significa que el equipo de sostenibilidad debe poder mostrar, por ejemplo, que las emisiones de Alcance 1 reportadas de 2.400 toneladas de CO₂ provienen de registros específicos de consumo de combustible, que esos registros fueron revisados por el controlador, y que ningún combustible fue excluido sin razón documentada.

Técnicamente, la pista funciona en capas. La capa de origen captura los datos sin procesar (archivos CSV de proveedores, sistemas ERP, medidores de energía). La capa de cambio documenta cualquier cálculo, conversión o agregación. La capa de gobernanza registra quién autorizó cada paso y con qué criterio de decisión. La capa de aseguramiento documenta cualquier revisión interna previa a la presentación. Cuando el verificador externo audita la información de sostenibilidad conforme a ISAE 3000 (Revisado) o a ISA 5000 (en desarrollo), sigue esta pista en lugar de reconstruir la información desde cero.

Por lo que he visto en los encargos que he llevado, sin una pista clara el verificador acaba haciendo tres cosas: mapear manualmente los sistemas fuente, solicitar documentación ad hoc a varios departamentos y conformarse con demostraciones de control en lugar de registros de control real. Aumenta el tiempo. Aumenta la exposición al error. Y al final del encargo, la opinión limitada se redacta con un margen de incomodidad mayor del que nadie quiere admitir.

Estructura mínima: lo que la norma exige y lo que el verificador realmente busca

Hay una zona gris que conviene nombrar. La CSRD y las ESRS no prescriben un formato concreto de pista; describen el resultado. Lo que ocurre en la práctica es que cada equipo de sostenibilidad documenta lo que el sistema hizo, no lo que la persona decidió. Y ahí es donde la pista se rompe.

Un punto de decisión no es un cálculo. Es el momento en que alguien eligió un factor de emisión entre dos posibles, excluyó una unidad de negocio por inmaterialidad o ajustó una cifra por cambio de metodología. La NIA-ES 330 exige que el auditor obtenga evidencia apropiada del juicio aplicado, no solo del resultado. La pista que documenta cálculos pero omite estos puntos de decisión es, hablando claro, un trámite. Los papeles están flojos.

Ejemplo práctico: Grupo Industrial Villamor S.L.

Imaginemos un fabricante español de componentes industriales con sede en Madrid, 340 empleados, una cifra de negocio de 28,5 millones de euros y obligación de reportar bajo CSRD a partir de 2025. Cotiza en el mercado supervisado por la CNMV. El equipo de sostenibilidad del Grupo Villamor reportó emisiones de Alcance 1 de 1.850 toneladas de CO₂ en FY2024. El verificador necesita rastrear cómo esa cifra llegó al informe.

En el primer paso, la identificación de fuentes de datos, el departamento de sostenibilidad señala tres orígenes: el consumo de gas natural en la planta de producción (registrado en el sistema de gestión de energía Sensefinity), el combustible diésel para vehículos de flota (registrado en SAP Viajes) y los refrigerantes (registrados manualmente en una hoja de cálculo de control de sustancias). Un responsable de sostenibilidad firma un registro de mapeo de fuentes el 15 de octubre de 2024.

En el segundo paso, extracción y cálculo, Sensefinity arroja 156.400 kWh de consumo anual de gas natural. Multiplicado por el factor de emisión de la red de gas española (0,196 kg CO₂/kWh, publicado por REE) da 30,65 toneladas de CO₂. SAP Viajes reporta 8.920 litros de diésel; al factor de emisión de 2,68 kg CO₂/litro (GHG Protocol) corresponden 23,90 toneladas. Los refrigerantes suman 0,32 toneladas estimadas. La plantilla de cálculo registra cada campo: fuente, volumen, factor, fecha de aplicación y resultado. La revisa el controlador de sostenibilidad el 22 de octubre.

En el tercer paso, revisión de gobernanza, el controlador detecta que la hoja de refrigerantes usa un factor de emisión de 2025, no de 2024. Solicita corrección. El analista de datos actualiza el factor a 0,31 toneladas (factor de 2024 según el Protocolo de Gases de Efecto Invernadero de España).

Hasta aquí, la pista funciona. Y entonces aparece la complicación que Villamor no esperaba.

Tres semanas después, alguien revisando los archivos descubre que el factor de emisión de la red eléctrica que se aplicó al cálculo (no al gas, al cálculo de Alcance 2 que el equipo había hecho en paralelo) corresponde al año de publicación, no al año de actividad. La diferencia mueve la cifra final. El controlador quiere reformular. Pero el equipo de comunicación ya ha publicado una nota de prensa con la cifra original. ¿Se reformula la nota o se ajusta la pista para justificar la cifra publicada? Aquí no hay norma que dé la respuesta. Hay un punto de decisión, y alguien tiene que firmarlo. Pasa más de lo que parece.

En el cuarto paso, consolidación y presentación, el total de emisiones de Alcance 1 queda en 30,65 + 23,90 + 0,31 = 54,86 toneladas de CO₂ equivalente. Las 1.850 toneladas reportadas inicialmente incluían emisiones de Alcance 2 e indirectas mal clasificadas. La pista permitió reconstruir el error y corregirlo antes de la presentación. Se prepara un memorándum de reconciliación, archivado junto al informe CSRD, donde el controlador firma la decisión: nota de prensa rectificada, no ajuste cosmético de la pista.

Sin la pista documentada paso a paso, el verificador habría tenido que solicitar evidencia retrospectiva de varios sistemas. Con la pista, confía en los registros de proceso y emite la opinión sobre Alcance 1 sin discusión.

Lo que verificadores y equipos de sostenibilidad suelen pasar por alto

El primer fallo es la ausencia de puntos de decisión documentados. Los equipos extraen datos, aplican cálculos, cierran. Pero ¿quién decidió qué factor de emisión usar? ¿Quién aprobó la exclusión de una fuente de energía? Los verificadores limitados bajo ISAE 3000 (Revisado) esperan ver ese juicio documentado, no solo el cálculo final. Cuando no aparece, lo que firma el equipo de sostenibilidad es un cálculo huérfano de criterio.

El segundo fallo es la confusión entre auditoría interna y auditoría externa. Muchas organizaciones documentan su pista para control interno pero no la estructuran de forma que un tercero pueda leerla sin haber diseñado el sistema. La NIA-ES 330 exige que el auditor obtenga evidencia apropiada; eso significa que la pista debe ser legible para alguien que llega de fuera. Las pistas construidas solo para usuarios internos suelen carecer de contexto normativo y de cronología clara.

Hay aquí un debate legítimo entre socios. Lo planteo porque en los encargos que he llevado ha aparecido más de una vez. Un socio defiende que la pista debe ser exhaustiva, hasta el último cambio de campo en el ERP, porque cualquier omisión es una invitación a la sospecha. Otro socio argumenta que basta con documentar los puntos de decisión críticos, porque el log granular es ruido y entierra el juicio bajo metadatos. Los dos tienen parte de razón. El primero protege contra el riesgo regulatorio; el segundo protege contra el riesgo de que el verificador no encuentre lo importante. La respuesta práctica suele ser un híbrido: log automatizado para datos brutos y transformaciones, narrativa firmada para puntos de decisión.

Y aquí va la observación que importa. El verificador externo no necesita reconstruir el cálculo; lo hace en cinco minutos con la fórmula. Lo que necesita reconstruir es por qué se eligió ese factor de emisión y no otro. Ahí se gana o se pierde la opinión limitada.

Pista de auditoría CSRD vs. pista de auditoría de cuentas anuales

Términos relacionados

- Aseveración de datos de sostenibilidad: la declaración que hace la organización sobre una cifra de sostenibilidad (por ejemplo, "nuestras emisiones de Alcance 1 son 54,86 toneladas de CO₂"). Gobernada por ESRS 2 a 6 según el tema. - Punto de decisión crítico: el momento en la pista donde se ejerce juicio (selección de factor de emisión, exclusión de una unidad de negocio, ajuste por cambio de metodología) y que afecta la cifra reportada. - Verificación limitada: el nivel de aseguramiento previsto por ISAE 3000 (Revisado), donde el verificador obtiene evidencia moderada de que la información de sostenibilidad no contiene declaraciones incorrectas materiales. - Factor de emisión: un multiplicador que convierte actividad (kWh de electricidad, litros de combustible) en emisiones de gases de efecto invernadero (kg CO₂e). En España, lo administra el Ministerio para la Transición Ecológica y el Reto Demográfico (MITECO). - Protocolo de Gases de Efecto Invernadero (GHG Protocol): el marco internacional para cuantificar y reportar emisiones de alcance 1, 2 y 3. Adoptado por la mayoría de verificadores que aplican ISAE 3000.

Herramientas de ciferi

Usa el CSRD Data Trail Mapper para documentar cada paso de tu recopilación de datos de sostenibilidad. La herramienta asigna fuentes a cálculos, registra aprobadores de gobernanza y genera un archivo de auditoría que el verificador externo puede usar directamente. Accede aquí.

---