Ověřování ESG dat s reasonable assurance: Jak se liší od limited, co to stojí a jak se připravit
Detailní průvodce ověřováním ESG dat: rozdíl mezi reasonable a limited assurance, metodika přípravy, rozpočty, časté chyby a tipy z české praxe.
Proč se téma ověřování ESG dat dostává do popředí
Směrnice CSRD ukládá velkým i kótovaným podnikům v jejím rozsahu, aby nechaly svá nefinanční (ESG) zveřejnění ověřit nezávislou třetí stranou. Původně Evropská komise počítala s tím, že by se po roce 2028 mohlo ověřování posunout z limited na přísnější reasonable assurance – revize CSRD v rámci balíčku Omnibus I (účinná od března 2026) ale tento automatický přechod ze směrnice zcela odstranila. Limited assurance je dnes nastavena jako trvalý strop, ne jako dočasný mezikrok, a Komise má nově vydat společný evropský standard pro limited assurance (navázaný na mezinárodní ISSA 5000) až k 1. červenci 2027. Pro firmy, které o reasonable assurance přesto uvažují – ať už kvůli požadavku zahraniční mateřské společnosti, investorů, nebo kvůli konkurenční výhodě u bank a odběratelů – zůstává metodika i příprava popsaná v tomto článku plně relevantní, jen už ne jako blížící se zákonná povinnost pro všechny.
V roli externího auditora ESG dat působím od roku 2010 a podílel jsem se na více než 150 ověřeních podle ISAE 3000 (revised), ISAE 3410 a novějších německých standardů IDW AuS 410. Na českém trhu dnes vidím tři hlavní důvody, proč firmy s asurancí váhají:
- Nejasný rozdíl mezi limited a reasonable assurance – management neví, co dostane navíc a kolik to bude stát.
- Nedostatek interních procesů – data o odpadech, emisích či diverzitě stále sbírá EXCEL „na koleni”.
- Obavy z nákladů a zdrojů – audit ESG údajů má prý stát statisíce a zabrat půl roku. Skutečnost je nuancovanější.
Následující text proto postupně vysvětluje, čím se reasonable assurance formálně liší od limited, jaký dopad má ESRS 2 na samotný ověřovací postup, jak se na audit připravit procesně, datově i smluvně, kolik reálně stojí a jak rozložit rozpočet do více let – a jaké chyby české firmy při přípravě nejčastěji dělají.
Limited vs. reasonable assurance – formální rozdíly
Definice podle ISAE 3000
International Standard on Assurance Engagements (ISAE) 3000 (Revised) rozlišuje dvě úrovně přesvědčení (assurance):
- Limited assurance – auditor shromažďuje omezené množství důkazů (zejména dotazy a analytické postupy). Výsledkem je negativně formulovaný závěr: „Nebyl shledán důvod se domnívat, že sdělení je zkreslené.“
- Reasonable assurance – auditor získává dostatečné a vhodné důkazní informace (testování vzorků, walkthrough procesů, fyzické inspekce) a vydává pozitivně formulovaný závěr: „Podle našeho názoru sdělení ve všech významných ohledech věrně zobrazuje…“
V praxi to znamená vyšší hloubku zkoušek, širší vzorkování dat a podstatně náročnější testy vnitřních kontrol. V účetním světě odpovídá limited assurance zhruba review, zatímco reasonable je plný audit.
Požadavky CSRD a ESRS
Směrnice CSRD (ve znění po revizi Omnibus I) stanovuje, že:
Auditor nebo nezávislý poskytovatel ověřovacích služeb musí k reportu udržitelnosti vydat stanovisko na úrovni limited assurance. Povinnost postupně přejít na reasonable assurance byla z textu v roce 2026 odstraněna – limited assurance tak zůstává jediným zákonem vyžadovaným stupněm ověření, dokud Komise směrnici znovu nezmění.
Standard ESRS 2 – Obecná zveřejnění (kapitola BP-1) navíc vyžaduje popsání kontrolního prostředí a procesů tvorby ESG dat. Firmy se tedy nevyhnou dokumentaci Data Governance Frameworku – bez něj auditor reasonable assurance nevydá.
Praktický rozbor těchto povinností najdete i v článku ESRS 2 – Obecná zveřejnění: základ každého reportu.
Jak se na reasonable assurance připravit – fáze, úkoly a rozpočty
1 | Gap assessment a maturity scan (4–6 týdnů)
Cíl: zjistit, nakolik stávající systém sběru dat splňuje požadavky ISAE 3000 a ESRS.
- Výstup: tabulka zralosti (0–5) pro 12 procesních oblastí (Governance, Kontroly, IT systémy…).
- Zdroje: 5–7 interních rozhovorů, revize procesní dokumentace, test 2 vzorků KPI.
- Rozpočet: 100–180 tis. Kč při externím dodavateli; interně zhruba 80 h ESG týmu.
Na základě 42 gap-assessments z let 2021–2023 víme, že nejčastější slabinou je sledovatelnost datového řetězce – chybí tzv. audit trail od senzorů nebo excelu až po finální KPI v reportu.
2 | Design a implementace kontrol (3–9 měsíců)
Kontroly na úrovni entit (tone at the top, ESG politika, role a zodpovědnosti) a kontroly na úrovni procesů (schvalování dat, IT general controls).
| Kontrola | Popis | Náklady (Kč) |
|---|---|---|
| SOD (segregation of duties) | Datový vlastník ≠ schvalovatel KPI | 0 – procesní nastavení |
| Automatická validace | IF-ISERROR v ETL nástroji, alert při odchylce > 10 % | 40 000 licence / rok |
| Verzování reportu | Git / SharePoint s workflow | do 20 000 |
| Dokumentace metodik | Template podle ESRS | 1–2 člověkodny / KPI |
Inspiraci, jak ukotvit kontroly do firemní strategie, najdete v článku ESG politika ve firmě: co musí obsahovat….
3 | Dry-run audit (6 týdnů)
Ještě před ostrým auditem doporučuji dry-run – simulaci ověřovacích testů na malém vzorku metrik (např. emise Scopes 1 + 2, gender pay gap, míra recyklace). Cíle:
- odhalit chybějící důkazní dokumentaci,
- ověřit, že kontrola funguje operationally effective min. 3 měsíce v řadě,
- vytrénovat interní tým na dotazy auditorů.
Rozpočet: 80–120 tis. Kč externě, interně cca 40 h.
4 | Ostrý audit – limited vs. reasonable
Tabulka s reálnými projekty (středně velká firma 500 FTE, 20 KPI):
| Úroveň | Dny u klienta | Vzorky / KPI | Fakturace (Kč) bez DPH |
|---|---|---|---|
| Limited | 7 | 3–5 | 250 000 – 350 000 |
| Reasonable | 15 | 10–20 | 550 000 – 800 000 |
Nárůst ceny je dán nejen počtem vzorků, ale i časem stráveným kontrolou IT systémů a fyzickou inspekcí (např. odečty měřičů energií).
Podrobný návod: 15 klíčových kroků k úspěšnému reasonable assurance
- Mapujte stakeholders – finance, ESG, IT, compliance. Určete data owners.
- Vyhotovte inventarizaci KPI – seznam metrik povinných podle ESRS, doplňte dobrovolné (např. GRI).
- Přiřaďte metodiku – zdroj dat, výpočetní vzorec, frekvence aktualizace.
- Implementujte kontrolní body – SOD, logger změn, threshold alert.
- Standardizujte evidence – digitální archiv faktur, kalibrační listy, protokoly vážení.
- Seřaďte KPI do „audit packů“ – balíček dokumentů, které auditor požaduje.
- Proveďte interní test – vygenerujte 12 měsíců dat, ověřte navaznost.
- Vyberte nezávislého auditora – Big4 nebo specializovaná ESG certifikační agentura; hodnoťte podle zkušeností v oboru.
- Ujasněte si materialitu – prahová úroveň významnosti (obvykle 5 % u emisí, 2 % u HR dat).
- Sestavte plán reálných termínů – data cut-off, evidenci uzavřete min. 6 týdnů před publikací reportu.
- Proškolte zaměstnance – jak reagovat na dotazy, kde najít důkazní listy.
- Spusťte audit – fieldwork, rozhovory, testy vzorků, ITGC review.
- Řešte nálezy v reálném čase – management comments přímo ve sdíleném nástroji.
- Uzavřete corrective actions – high findings do 30 dnů, medium do 90 dnů.
- Publikujte opinion – přiložte k výroční zprávě, umístěte na web.
Příklady z české praxe
CASE A – Výrobce obalů (1 200 zaměstnanců)
- Výchozí stav: 48 KPI, data v Excelu, pouze limited assurance.
- Akce: implementace SaaS ESG tool, revize metodiky Scope 3.
- Výsledek: reasonable assurance za 620 tis. Kč, zkrácení auditu z 12 na 8 týdnů.
CASE B – Retail banka (5 000 zaměstnanců)
- Výchozí stav: robustní ITGC, ale neexistoval data lineage pro gender a diverzitu.
- Akce: nasazení datové platformy, ETL do Snowflake, automatické logy.
- Výsledek: bez nálezu na 95 % KPI, příprava trvala 14 měsíců, CAPEX 1,4 mil. Kč.
Časté chyby a jak jim předcházet
- Chybějící dokumentace metodiky – auditor nemůže ověřit, když neví, jak se KPI počítá.
- Nesladěné časové osy – finanční účetní závěrka uzavřena dřív, ESG data ještě sbíráte.
- ITGC opomíjené v cloudu – SaaS nástroje potřebují kontrolu přístupových práv stejně jako on-prem.
- Přecenění materiality – nastavíte příliš vysoký práh a auditor jej odmítne.
- Ad-hoc úpravy dat – ruční zásahy v poslední chvíli bez logu = kvalifikovaný závěr.
Rozpočty a senzitivitní analýza
Při plánování nákladů doporučuji rozdělit je do tří kategorií:
- Interní kapacity – ESG a finance tým (0,5 FTE ročně ≈ 400 tis. Kč).
- IT nástroje – licence 100–300 tis. Kč / rok + implementace.
- Externí audit – viz tabulka výše.
První rok bývá nejdražší (set-up), druhý rok ceny obvykle klesnou o 20–30 % díky stabilizaci procesů.
Závěr
Zákonná povinnost reasonable assurance pro nejbližší roky prakticky spadla ze stolu – limited assurance zůstává jediným povinným stupněm ověření. To ale neznamená, že je téma bezpředmětné: řada českých dceřiných společností jej bude řešit kvůli požadavkům zahraniční matky, přísnějším národním předpisům (např. německému HGB) nebo tlaku investorů a bank, kteří vyšší jistotu v datech odměňují nižší cenou kapitálu. Firmy, které se na reasonable assurance připraví i bez zákonné povinnosti, získají robustní datovou architekturu, jasnou metodiku KPI a kulturu kontrol – tedy přesně to, co dnešní limited assurance stejně vyžaduje a co se vyplatí bez ohledu na to, jak se regulace bude vyvíjet dál.