CSRD 감사증적

작동 방식

지속가능성 감사에서 감사증적이란 경영진이 CSRD 공시에 도달하는 과정을 재구성할 수 있는 서면 기록을 의미합니다. ISA 330.27은 "감사인은 수행한 감사절차로부터 감사증거를 얻어야 한다"고 규정합니다. 지속가능성 데이터의 경우 이는 개별 배출량 측정부터 시작해 전체 탄소 배출량 집계, 마지막으로 공시에 사용된 수치까지 이르는 전체 경로를 포함합니다.
현실의 감사 파일에서 감사증적의 부재 또는 단편화는 국제 감시 기관의 주요 지적사항입니다. ISSA 5000(지속가능성 보증 국제기준)이 최종 발행되면 더욱 엄격한 요구사항이 적용될 예정이며, ISA 330을 기반으로 한 현행 감사 기준도 충분한 적절한 감사증거를 입증하도록 요구합니다.
감사증적은 다음 요소를 포함해야 합니다: 원본 출처(생산 시설의 계량 기록, 공급망 파트너 보고, 제3자 데이터베이스), 변환 과정(단위 변환, 배분 계산, 기준 연동), 집계 수준(사업부 정리, 소계, 최종 계산), 재검증 증거(내부 검토, 승인 흔적, 조정 기록).

실무 예시: 그린솔루션스(주)

기업: 한국 제조업체, 2024년 사업연도, 연 매출 2,850억 원, CSRD 보고 대상
단계 1: 원본 데이터 수집
그린솔루션스는 서울 본사, 부산 공장, 인천 물류센터 3개 지점에서 전력 사용량을 매월 수집합니다. 부산 공장의 2024년 1월 전력 사용량은 84,500 kWh입니다.
감사 문서화: 공급업체 청구서 사본, 자동 계량기 데이터, 에너지 관리 시스템 보고서
단계 2: 단위 변환 및 배분 계산
감사인은 kWh를 MWh로 변환(84.5 MWh)하고, 공급업체로부터 취득한 그리드 배출계수(1 MWh당 0.412 tCO₂e, 한국 2024년 평균값)를 적용합니다. 부산 공장의 1월 전력 기반 배출량은 84.5 × 0.412 = 34.8 tCO₂e입니다.
감사 문서화: 단위 변환 스프레드시트, 배출계수 출처(전력거래소 공시 자료, 취득 일자 2025년 1월 15일), 계산 공식 인쇄물
단계 3: 월간 데이터의 연간 집계
12개월 데이터를 집계하면 부산 공장 2024년 전력 기반 배출량은 387.6 tCO₂e입니다. 서울(210.4 tCO₂e), 인천(155.2 tCO₂e)과 함께 회사 전체 Scope 2 배출량은 753.2 tCO₂e입니다.
감사 문서화: 월간 데이터 원본 파일, 엑셀 통합 워크시트, 계산 공식 검증 기록
단계 4: 최종 공시 값 확인
CSRD 지속가능성 보고서에 기재된 값(Scope 2 배출량: 753 tCO₂e, 반올림)과 감사 파일의 계산값(753.2 tCO₂e)을 비교합니다. 차이는 반올림으로 설명 가능합니다.
감사 문서화: 공시 초안과 최종본 사본, 경영진 기록부 추적(누가, 언제, 왜 승인했는지)
결론: 부산 공장 데이터부터 회사 전체 배출량 공시까지 모든 단계가 추적 가능한 감사증적으로 뒷받침되었습니다. ISA 330.27의 감사증거 충분성 요구사항을 충족합니다.

감사인과 감시기관이 놓치기 쉬운 점

• 원본 데이터 출처 미명시: 많은 기업이 "에너지 관리 시스템에서 수집"이라고만 기록하고, 실제 시스템 접근 권한, 데이터 추출 날짜, 출처 데이터의 신뢰도 평가(예: 자동 계량기 vs 수동 기록)를 문서화하지 않습니다. ISA 330.A39는 정보 신뢰도 평가를 요구합니다. 원본 데이터가 누가 기록했고 언제 검증되었는지는 감사증적의 필수 요소입니다.
• 단위 변환 및 배분 방법 미기록: 배출계수(예: 한국 전력망의 tCO₂e/MWh)는 매년 갱신됩니다. 감사증적에 "2024년 배출계수 0.412 사용, 출처: 전력거래소 2025년 1월 발표 자료"라는 기록이 없으면, 동일한 데이터로도 경년 비교 오류나 계수 적용 오류를 감지할 수 없습니다.
• 집계 과정의 중간 산출물 부재: 월간 데이터를 연간 합계로 변환할 때 사업부별 소계, 지점별 소계, 범주별 소계 등이 중간 감사증적으로 남아 있지 않으면, 특정 월 또는 지점의 이상값을 역추적하기 어렵습니다. 감사인이 총 753 tCO₂e만 검증하면 387.6 tCO₂e(부산)가 맞는지 확인할 방법이 없습니다.
• 승인 및 검증 기록의 위변조 가능성 미평가: 전자 서명이나 승인 워크플로가 없는 스프레드시트 기반 데이터 수집에서는 누가 언제 수치를 입력하고 승인했는지 추적이 불가능합니다. ISA 315.26(d)는 감사인이 정보시스템 관련 위험을 식별하도록 요구하며, 수동 스프레드시트의 무결성 통제 부재는 데이터 조작 위험을 높입니다.

관련 용어

• 지속가능성 데이터 신뢰도 평가 : CSRD 데이터의 출처별 신뢰도 등급 결정
• 배출계수 관리 : 표준화된 배출계수의 선택, 갱신, 적용 기록
• 범위 3 배출 추적 : 가치사슬 배출 데이터의 증거 수집 및 검증
• ISA 330 감사증거 : CSRD 이전의 전통적 감사증거 개념과의 연계

관련 도구

CSRD 감사증적 트레일 템플릿을 사용하면 원본 데이터부터 최종 공시까지 모든 변환 단계를 기록하고, 각 단계별 책임자와 검증자를 추적할 수 있습니다. 한국 제조업체용으로 사전 구성되어 있습니다.