Aseguramiento limitado en sostenibilidad

Lo que dicen ISAE 3410 e ISSA 5000, y lo que ocurre en el papel de trabajo

ISAE 3410 párrafo 28 establece que el aseguramiento limitado se define por el nivel de riesgo de aseguramiento alcanzado: el auditor obtiene evidencia suficiente para reducir dicho riesgo a un nivel aceptable en las circunstancias del encargo, pero superior al de un encargo de aseguramiento razonable. El estándar ISSA 5000, que está sustituyendo a ISAE 3000 e ISAE 3410 como norma específica para información de sostenibilidad, mantiene la misma arquitectura de dos niveles. La conclusión asociada al nivel limitado es de forma negativa, según ISAE 3410 párrafo 51.

Lo que realmente ocurre es que muchos despachos diseñan el encargo al revés. El cliente fija el precio, el equipo calcula cuántas horas caben en ese precio y, a partir de ahí, escoge los procedimientos. El nivel de aseguramiento se etiqueta después, casi como una formalidad de la carta de encargo. Por lo que conozco, esa inversión es la causa raíz de buena parte de las observaciones que el ICAC ya empieza a abrir sobre los primeros encargos CSRD: procedimientos pensados para reducir riesgo a un nivel moderado, pero firmados como si fuese aseguramiento razonable, o lo contrario, presupuestos de razonable cobrados como limitado.

ISAE 3410 párrafos 39 a 42 acotan los procedimientos mínimos en aseguramiento limitado: indagaciones a la dirección y al personal con responsabilidad sobre la información de sostenibilidad, procedimientos analíticos y evaluación de la consistencia interna y externa de la información. No exige observación de controles ni verificación de fuentes primarias para cada cifra reportada. El escepticismo profesional sigue siendo obligatorio bajo el párrafo 19, sin descuento por nivel de aseguramiento. Vaya por delante que esto último es la parte que más se incumple en la práctica: se asume que en limitado el escepticismo se rebaja, y no es así.

En los encargos CSRD que he visto, el problema de fondo es comercial. El socio necesita el cliente, el cliente quiere precio de limitado y comodidad de razonable, y la carta de encargo rara vez aclara la diferencia. La conclusión negativa se redacta de forma que el banco que financia con un préstamo verde la pueda enseñar a su comité. Ese hueco entre lo que el auditor escribe y lo que el lector entiende es donde se acumula el riesgo del despacho.

Por qué la forma de la conclusión importa más de lo que parece

La conclusión de aseguramiento limitado se redacta como ausencia de hallazgo negativo: "no hemos identificado nada que nos lleve a creer que la información de sostenibilidad reportada no está presentada, en todos los aspectos significativos, de conformidad con [el marco aplicable]". El lector profesional —un regulador, un comité de auditoría— entiende que esa fórmula significa que el auditor ha hecho menos trabajo y emite menor confort. El lector no profesional —un periodista, un inversor minorista, un responsable de compras de una entidad pública— la lee como una validación.

Esa brecha de percepción es lo que hace que el aseguramiento limitado sea, en términos de exposición del despacho, más arriesgado de lo que la aparente laxitud de la norma sugiere. El auditor firma con el confort moderado que prevé ISAE 3410 y el mercado lee como si firmase con el confort bajo que exige el aseguramiento razonable.

Es la primera vez en muchos años que un nuevo régimen de información llega sin cifras comparativas creíbles. Estamos firmando informes con datos del primer año y rezando para que el equipo de sostenibilidad del cliente tenga al menos un controller que entienda lo que reporta. La mayoría no lo tiene.

Aseguramiento limitado vs. razonable

Ejemplo práctico: Soluciones Textiles Mediterráneos S.L.

Cliente: fabricante textil con sede en Barcelona, 145 empleados, ventas anuales de 8,2 millones de euros. Reporta emisiones GRI Scope 1, 2 y 3 dentro de su estado de información no financiera.

Paso 1: planificación del alcance La dirección solicita aseguramiento limitado sobre las emisiones Scope 1 y 2. Emisiones totales reportadas: 2.340 toneladas de CO₂ equivalente. El auditor fija un umbral de materialidad del 5 % de las emisiones totales (117 toneladas) y un umbral de desempeño del 3 % (70 toneladas). Tanto el alcance como el nivel de aseguramiento se cierran en la carta de encargo y quedan archivados en PT-1.

Paso 2: evaluación del proceso de captura de datos El responsable de sostenibilidad y el controller explican el flujo. Scope 1 (combustible de la caldera) se captura desde las facturas mensuales de gas natural, multiplicadas por el factor de emisión publicado. Scope 2 (electricidad) viene de las facturas del distribuidor. Se documenta el flujo desde el origen hasta el sistema ERP y la declaración final, y se adjuntan tres meses de facturas como evidencia (PT-3).

Paso 3: procedimientos analíticos Las emisiones por unidad de producción de 2024 (2.340 t para 145 empleados) se comparan con las de 2023 (2.180 t para 142 empleados). La variación del 7,3 % se explica por el crecimiento del personal del 2,1 % y un aumento de producción documentado del 5 %. No se identifica una divergencia anómala. Se obtiene correo del director de operaciones que confirma que la producción de agosto fue un 12 % superior a lo presupuestado, contrastable con datos del ERP (PT-5).

Paso 4: revisión de los factores de emisión El auditor verifica que los factores aplicados (gas natural: 2,04 kg CO₂e/m³; electricidad red española 2024: 0,25 kg CO₂e/kWh según el IDAE) son los publicados por las autoridades españolas para el año reportado. Se adjuntan capturas de la web del IDAE y se comprueba que se aplicaron correctamente a las cantidades consumidas (PT-4).

Paso 5: la complicación A mitad del encargo, el proveedor externo que alimenta los factores de emisión Scope 3 publica una actualización de su base de datos. Las cifras Scope 3 reportadas se desplazan un 8 %, ahora por debajo del umbral de materialidad pero rozándolo. El equipo se planta delante de una decisión de juicio profesional: ampliar procedimientos para reverificar Scope 3 con la base de datos nueva, o mantener el baseline original con una nota explicativa en los papeles. ISAE 3410 párrafo 51 admite confianza razonable en información de tercero con diligencia debida; ISAE 3410 párrafo A51 obliga a evaluar la competencia y objetividad del proveedor. Se opta por mantener el baseline original y documentar la actualización como evento posterior, después de obtener confirmación escrita del proveedor sobre el alcance del cambio metodológico (PT-6).

Paso 6: la presión del controller Una semana antes de la firma, el controller llama. El banco que está cerrando el préstamo verde de la sociedad pide una conclusión "en positivo" para su comité de riesgos. Pregunta si "no se puede redactar como que todo está bien, sin tantos negativos". La respuesta es que no. La conclusión de aseguramiento limitado es de forma negativa por norma (ISAE 3410.51), no por preferencia estilística. Si el banco necesita confort positivo, el camino es contratar aseguramiento razonable y reabrir el alcance. El controller lo entiende a la tercera explicación. La conclusión se firma como sigue: "Basándonos en nuestros procedimientos de aseguramiento limitado, no hemos identificado nada que nos lleve a creer que la información de emisiones reportada en el estado de sostenibilidad no está presentada, en todos los aspectos significativos, de conformidad con el marco GRI."

La discusión que toca tener: confianza en la metodología del cliente

Aquí hay legítima divergencia de criterio dentro del propio despacho. Un socio que llamaré A defiende que en aseguramiento limitado la indagación y la revisión documental de la metodología bastan: si el cálculo está descrito, el auditor confirma que se ha aplicado lo que el documento dice y la cobertura del párrafo 41 de ISAE 3410 está cubierta. La pregunta de "¿lo recalculo yo?" se responde con que en limitado no es necesario, salvo señales de error.

El socio B sostiene lo contrario para el primer año de CSRD. Su argumento: la metodología la ha redactado a menudo el mismo equipo que captura los datos, sin segregación de funciones; el factor de emisión, la fórmula y la evidencia están en la misma carpeta del mismo controller. Sin un recálculo independiente al menos sobre una muestra, el auditor no obtiene evidencia que reduzca el riesgo de aseguramiento a un nivel siquiera moderado, porque la propia documentación de la metodología no es independiente de la información asegurada. ISAE 3410 párrafo 37 le da soporte: el auditor debe evaluar la competencia de quien prepara la información, y en sostenibilidad esa competencia no se puede asumir.

La práctica de este despacho se inclina por el socio B durante los primeros dos años de CSRD por cliente. A partir del tercero, con un equipo de sostenibilidad rodado y una metodología revisada por un experto interno con criterio de auditoría, se relaja hacia la posición A. No es una norma escrita; es la curva de confianza que se construye encargo a encargo.

Lo que se pasa por alto en revisión

Hay tres errores que aparecen una y otra vez cuando se revisan encargos limitados de sostenibilidad. El primero es confundir el alcance de los procedimientos con el nivel de confianza. Un equipo diseña verificaciones de fuente primaria sobre el 70 % de las transacciones porque "así estamos cubiertos", pero etiqueta el encargo como limitado porque el cliente no pagó razonable. ISAE 3410 párrafo 28 define el nivel por el riesgo alcanzado, no por el precio de la propuesta.

El segundo es omitir el escepticismo profesional bajo la coartada del nivel limitado. Una conclusión limitada que no documenta preguntas incómodas a la dirección, que no pone por escrito ninguna inconsistencia identificada y resuelta, es una conclusión insuficiente. El párrafo 19 aplica a ambos niveles sin descuento.

El tercero, el menos discutido, es no evaluar la capacidad técnica de quien prepara los datos. En sostenibilidad, el responsable que recopila las emisiones rara vez es contador titulado. Suele ser un técnico de medio ambiente con formación universitaria pero sin experiencia en auditoría ni en el sistema de control interno sobre la información financiera. ISAE 3410 párrafo 37 obliga a evaluar competencia. Se omite con frecuencia bajo el supuesto de que en limitado importa menos. Importa lo mismo.

Cuándo la distinción importa de verdad

Imaginemos un emisor que pide aseguramiento limitado a tres firmas y aseguramiento razonable a la cuarta. Las primeras tres proponen presupuestos similares; la cuarta, el doble. El emisor no entiende la diferencia técnica y pregunta "qué cambia realmente". Lo que cambia es quién va a usar el informe. Si las cifras de emisiones forman parte de la remuneración variable de la dirección, si el préstamo verde tiene un covenant ligado al dato reportado, si el folleto de una emisión de bonos sostenibles incluye la información asegurada, entonces el confort moderado del aseguramiento limitado no es defendible ante un litigio. Si las cifras son solo reportadas a iniciativas de transparencia voluntarias, sin consecuencia material, limitado es proporcional.

La conclusión negativa del aseguramiento limitado no será suficiente para un stakeholder que tome decisiones de inversión basadas en el reporte. Eso hay que decirlo en la propuesta, por escrito, antes de firmar la carta de encargo. La discusión incómoda con el cliente al principio del encargo evita la discusión imposible con el inspector dos años después.

Términos relacionados

- Aseguramiento razonable: nivel de confianza superior en reportes de sostenibilidad donde el riesgo de aseguración es bajo. - ISAE 3410: norma internacional que rige encargos de aseguramiento sobre información de sostenibilidad. - Materialidad en sostenibilidad: umbral cuantitativo y cualitativo para errores significativos en reportes de sostenibilidad. - Marco de aseguramiento: estructura de criterios según los cuales se evalúa la información de sostenibilidad. - Evidencia de aseguramiento: información obtenida por el auditor para soportar su conclusión sobre sostenibilidad. - GRI Standards: marco de reporte de sostenibilidad que frecuentemente es asegurado bajo ISAE 3410.

---