ESG-Berichterstattung ist von freiwillig zu gesetzlich verpflichtend geworden: Was das für Operations-Teams bedeutet

Die Corporate Sustainability Reporting Directive — die CSRD — ist in der EU stufenweise in Kraft getreten, beginnend mit der Berichterstattung für das Geschäftsjahr 2024 bei großen börsennotierten Unternehmen. Seitdem hat sich der Anwendungsbereich stetig erweitert, und am Ende des CSRD-Einführungsplans wird die Richtlinie rund 50,000 in der Europäischen Union tätige Unternehmen erfassen — darunter viele Unternehmen aus dem Mittelstand, die zuvor außerhalb jedes formalen Nachhaltigkeitsberichtsrahmens tätig waren.

Dies ist keine schrittweise Erweiterung bestehender freiwilliger ESG-Rahmenwerke. Die CSRD verlangt eine Prüfung (Assurance) der berichteten Nachhaltigkeitsinformationen — sie müssen prüffähig sein, nicht nur offengelegt werden. Sie schreibt die Berichterstattung nach den European Sustainability Reporting Standards (ESRS) vor, die deutlich detaillierter und operativ anspruchsvoller sind als die freiwilligen Rahmenwerke, an denen sich die meisten Unternehmen bislang orientiert haben. Und sie führt das Konzept der doppelten Wesentlichkeit ein: Unternehmen müssen nicht nur bewerten, wie sich Nachhaltigkeitsrisiken auf das Geschäft auswirken, sondern auch, wie sich das Unternehmen auf Umwelt und Gesellschaft auswirkt.

Für Unternehmen, deren Nachhaltigkeitsberichterstattung bislang auf einer gut gemeinten Erzählung im Geschäftsbericht beruhte, ist der Übergang zu einer CSRD-konformen Berichterstattung keine schrittweise Verbesserung. Es ist ein struktureller Neuaufbau.

Wer ist wann betroffen

Die stufenweise Einführung der CSRD hat zu Unsicherheit darüber geführt, welche Unternehmen wann handeln müssen. Im Überblick:

• Große Unternehmen von öffentlichem Interesse (börsennotierte Unternehmen, Banken, Versicherungen mit mehr als 500 Mitarbeitenden) berichten seit dem Geschäftsjahr 2024, mit Berichten fällig 2025
• Große Unternehmen, die zwei von drei Kriterien erfüllen (500+ Mitarbeitende, €50M+ Umsatz, €25M+ Bilanzsumme), müssen ab dem Geschäftsjahr 2025 berichten, mit Berichten fällig 2026
• Börsennotierte KMU müssen ab dem Geschäftsjahr 2026 berichten, mit einer Opt-out-Möglichkeit bis 2028
• Nicht-EU-Unternehmen mit bedeutender EU-Geschäftstätigkeit (€150M+ EU-Nettoumsatz und mindestens einer großen EU-Tochtergesellschaft oder börsennotierten EU-Niederlassung) unterliegen der Berichtspflicht ab dem Geschäftsjahr 2028

Die Schwellenwerte und Zeitpläne unterliegen fortlaufenden politischen Verhandlungen und Anpassungen bei der Umsetzung. Die grundsätzliche Richtung hat sich jedoch nicht geändert: Der Umfang der verpflichtenden Nachhaltigkeitsberichterstattung in Europa wächst, und der erwartete Standard ist prüfungsfähig, nicht bloß ambitioniert.

Das Datenerhebungsproblem, auf das niemand vorbereitet war

Die dominierende Diskussion rund um ESG-Berichterstattung dreht sich in den meisten Unternehmen um die Offenlegungsstrategie — was gesagt wird, wie es formuliert wird, auf welche Rahmenwerke verwiesen wird. Die operative Herausforderung, die deutlich weniger Aufmerksamkeit erhält, bis es zu spät ist, ist das Datenerhebungsproblem.

Die Erstellung eines ESRS-konformen Nachhaltigkeitsberichts erfordert Daten, die die meisten Mittelstandsunternehmen derzeit nicht erheben, uneinheitlich erheben oder in einer nicht prüffähigen Form erfassen. Eine unvollständige Liste dessen, was eine umfassende CSRD-Berichterstattung erfordert:

• Treibhausgasemissionen über Scope 1 (direkte Emissionen), Scope 2 (zugekaufte Energie) und Scope 3 (Emissionen der Wertschöpfungskette) — gemessen in Tonnen CO₂-Äquivalent, mit Methodendokumentation
• Energieverbrauch nach Quelle, einschließlich der Aufschlüsselung nach erneuerbaren und nicht erneuerbaren Anteilen
• Daten zur Wasserentnahme und zum Wasserverbrauch, mit Identifikation von Wasserstressgebieten
• Abfallaufkommen nach Kategorie und Entsorgungsmethode
• Personaldaten einschließlich Diversitätskennzahlen, Analyse des Lohngefälles und Unfall- sowie Sicherheitsstatistiken
• Sorgfaltsprozesse für Menschenrechte und Umweltauswirkungen entlang der Lieferkette
• Governance-Strukturen, Richtlinien und Zielvorgaben zu Nachhaltigkeitsthemen

Das ist keine Liste von Dingen, die sich innerhalb weniger Tage vor Berichtsabgabe aus einem Management-Informationssystem zusammenstellen lassen. Der Großteil davon muss systematisch während des gesamten Berichtszeitraums erfasst werden — das bedeutet, die Dateninfrastruktur muss vor Beginn des Zeitraums stehen, nicht erst an dessen Ende.

Der Nachhaltigkeitsbericht, den ein Prüfer testieren wird, basiert auf operativen Daten, die über zwölf Monate hinweg erhoben wurden. Ein Unternehmen, das erst im elften Monat beginnt, über die Datenerhebung nachzudenken, wird keinen konformen Bericht erstellen — es wird eine Bestschätzung liefern, die einer genauen Prüfung möglicherweise nicht standhält.

Scope 3: Wo die meisten Unternehmen ins Stocken geraten

Scope-1- und Scope-2-Emissionen — direkte Emissionen aus eigenen Betriebsabläufen und indirekte Emissionen aus zugekauftem Strom und zugekaufter Wärme — sind konzeptionell überschaubar, auch wenn die Messung einigen methodischen Aufwand erfordert. Die meisten Unternehmen können sich anhand von Energierechnungen, Kraftstoffverbrauchsdaten und Flottendaten ein solides Bild von Scope 1 und Scope 2 verschaffen.

Scope 3 ist grundlegend anders. Er umfasst fünfzehn Kategorien indirekter Emissionen entlang der gesamten Wertschöpfungskette eines Unternehmens — vorgelagert (aus eingekauften Waren und Dienstleistungen, Geschäftsreisen, Arbeitswegen der Mitarbeitenden, Investitionsgütern) und nachgelagert (aus der Nutzung verkaufter Produkte, der Entsorgung am Lebensende, Investitionen). Bei den meisten Unternehmen sind die Scope-3-Emissionen deutlich größer als Scope 1 und 2 zusammen — sie machen typischerweise 70–90% des gesamten Emissions-Fußabdrucks aus.

Um Scope 3 aussagekräftig zu berechnen, sind Daten von Lieferanten (deren Emissionen im Zusammenhang mit Ihren Einkäufen), Logistikdienstleistern (Transportemissionen) und in manchen Fällen von Kunden (Emissionen aus der Nutzung Ihrer Produkte) erforderlich. Das sind Daten, die Sie nicht selbst kontrollieren und die Ihre Lieferkettenpartner möglicherweise selbst nicht erfassen. Diese Daten anzufordern, löst eine Kaskade von Lieferanten-Datenerhebungsprozessen aus, die schnell zu einem erheblichen operativen Unterfangen werden.

Die praktische Realität für die meisten Mittelstandsunternehmen, die sich zum ersten Mal mit Scope 3 befassen, ist, dass sie auf ausgabenbasierte Schätzungen zurückgreifen werden — also durchschnittliche Emissionsfaktoren pro ausgegebenem Euro je Beschaffungskategorie anwenden — statt auf lieferantenspezifische Daten. Das ergibt eine sinnvolle Größenordnung, ist aber nicht die aktivitätsbasierte Datengrundlage, die mit zunehmender Reife der CSRD-Berichterstattung als Best Practice gelten wird.

Die Prüfungspflicht verändert alles

Die bisherige Nachhaltigkeitsberichterstattung — ob nach GRI, CDP oder anderen freiwilligen Rahmenwerken — war im Wesentlichen eine Selbstauskunft. Ein Unternehmen konnte selbst wählen, was es offenlegt, was als wesentlich gilt, und seine Nachhaltigkeitsleistung in den meisten Fällen ohne externe Prüfung darstellen. Der Maßstab dafür, was als akzeptable Offenlegung galt, war faktisch das eigene Ermessen des Unternehmens darüber, was angemessen erschien.

Die CSRD verlangt eine begrenzte Prüfungssicherheit (limited assurance) durch einen externen Prüfer, perspektivisch sogar eine hinreichende Prüfungssicherheit (reasonable assurance). Das bedeutet, dass die Daten hinter den Nachhaltigkeitsangaben folgende Eigenschaften aufweisen müssen:

• Nachvollziehbar — jede berichtete Kennzahl muss auf eine primäre Datenquelle zurückführbar sein, nicht auf eine zusammenfassende Schätzung
• Konsistent — Berechnungsmethoden müssen einheitlich angewendet und dokumentiert werden
• Vollständig — wesentliche Themen dürfen nicht ohne Erklärung und Begründung ausgelassen werden
• Genau — Zahlen müssen innerhalb akzeptabler Toleranzen korrekt sein, nicht nur richtungsweisende Näherungswerte

Das sind die Maßstäbe, an denen Finanzdaten im gesetzlichen Jahresabschluss gemessen werden. Sie auf Nachhaltigkeitsdaten anzuwenden, erfordert dieselbe Infrastruktur, auf die auch Finanzdaten angewiesen sind: systematische Datenerhebung, kontrollierte Erfassungsprozesse, Prüfpfade (Audit Trails) und Versionsverwaltung. Unternehmen, die ESG-Daten bislang in Tabellenkalkulationen verwaltet haben, die von einer einzelnen Person in der Nachhaltigkeitsfunktion gepflegt werden, werden feststellen, dass dieser Ansatz einer externen Prüfung nicht standhält.

Die Kaskadenwirkung der Berichtspflicht in der Lieferkette

Einer der bedeutendsten Sekundäreffekte der CSRD ist der Druck, den sie auf Unternehmen ausübt, die selbst noch nicht in ihren Anwendungsbereich fallen. Große Unternehmen, die nach CSRD berichten, benötigen Scope-3-Daten aus ihren Lieferketten. Sie benötigen Dokumentationen zur Sorgfaltsprüfung im Bereich Menschenrechte und Umwelt für ihre bedeutenden Lieferanten. Sie müssen nachweisen können, dass ihre Lieferantenbeziehungen Mindeststandards bei Arbeitspraktiken, Umweltmanagement und Governance erfüllen.

Das bedeutet, dass Mittelstandsunternehmen, die große CSRD-pflichtige Kunden beliefern, Anfragen nach Nachhaltigkeitsdaten und Lieferantenfragebögen erhalten — unabhängig davon, ob sie selbst unmittelbar zur Berichterstattung nach der Richtlinie verpflichtet sind. Die Frage ist nicht, ob diese Daten angefordert werden — das werden sie —, sondern ob das Unternehmen glaubwürdig antworten kann oder nicht. Die Fähigkeit, zeitnah mit gut dokumentierten Nachhaltigkeitsdaten zu antworten, wird zunehmend zu einer kommerziellen Voraussetzung, nicht nur zu einer Compliance-Übung.

Aufbau der Datenarchitektur

Die operative Voraussetzung für eine CSRD-taugliche Nachhaltigkeitsberichterstattung ist eine Datenarchitektur, die Nachhaltigkeitskennzahlen mit derselben Sorgfalt behandelt wie Finanzkennzahlen — systematisch erhoben, in einer kontrollierten Umgebung gespeichert, mit klarer Verantwortlichkeit und Prüfpfad.

Für die meisten Mittelstandsunternehmen bedeutet das:

• Energie- und Versorgungsdaten in ein zentrales System integrieren, statt sie über periodische PDF-Rechnungen in einem E-Mail-Ordner zu verwalten
• Abfall-Tracking in die Betriebsaufzeichnungen aufnehmen, wobei Entsorgungsmethode und Gewicht je Abfallstrom bereits an der Quelle dokumentiert werden, statt sie zum Jahresende zu rekonstruieren
• Flotten- und Reisedaten laufend mit den Emissionsberechnungen verknüpfen, statt sie als jährliche Rechenübung zu behandeln
• Die Datenerhebung bei Lieferanten in den Beschaffungsprozess integrieren — Antworten auf Nachhaltigkeitsfragebögen zu einem festen Bestandteil des Lieferanten-Onboardings und der periodischen Qualifizierung machen, statt sie als einmalige Anfrage kurz vor Berichtsabgabe zu behandeln
• Datenpipelines für Personaldaten aus HR-Systemen aufbauen, die Diversitäts-, Sicherheits- und Vergütungsdaten in der von den ESRS geforderten Granularität erfassen

Keiner dieser Punkte ist für sich genommen technisch komplex. Die Herausforderung besteht darin, dass jeder von ihnen ein anderes operatives System und ein anderes Team betrifft — und die Koordination der Datenerhebung über all diese Bereiche hinweg, konsistent und über das gesamte Jahr hinweg, erfordert entweder eine eigene Nachhaltigkeits-Operations-Funktion oder integrierte Tools, die den Koordinationsaufwand reduzieren.

Die Versuchung der Kommunikationsabteilung

In vielen Organisationen wurde die ESG-Berichterstattung bislang vor allem von den Teams für Kommunikation und Investor Relations verantwortet, wobei der Bereich Operations Daten auf Anfrage lieferte. Die CSRD kehrt dieses Verhältnis um: Das Operations-Team ist nun der primäre Eigentümer der Daten, die die Compliance ermöglichen, während die Kommunikation mit dem arbeitet, was die Daten tatsächlich zeigen, statt zu gestalten, was offengelegt wird.

Dieser Wandel ist unangenehm für Organisationen, in denen ESG historisch gesehen vor allem eine erzählerische Übung war. Der Prüfungsstandard lässt keine Auswahl günstiger Daten und keine Auslassung ungünstiger Daten zu. Die doppelte Wesentlichkeit verlangt, negative Auswirkungen ebenso anzuerkennen wie positive Beiträge. Der Standard ist darauf ausgelegt, ein vollständiges und genaues Bild zu erzeugen, kein kuratiertes.

Unternehmen, die CSRD-Compliance als Kommunikationsproblem angehen, werden bei der Prüfung Schwierigkeiten haben. Unternehmen, die sie als operatives Datenproblem angehen — und entsprechend in die Systeme und Prozesse investieren, die verlässliche Daten liefern —, werden feststellen, dass der Compliance-Aufwand auch Managementinformationen liefert, die über den Bericht selbst hinaus Wert schaffen.

---