L'Opinione di Assurance CSRD 2026: Dove i Revisori Chiedono da Dove Arrivano i Tuoi Dati Generati dall'IA

Una sustainability controller di un’azienda manifatturiera Wave 1 mi ha raccontato che il suo team di assurance ha passato quasi un’ora su un singolo numero: le emissioni Scope 3 da beni acquistati. Non stavano discutendo la metodologia. Stavano discutendo da dove arrivasse la cifra. Quale sistema sorgente, quale estrazione, quale versione del dataset fornitori, chi l’ha toccata dopo che il modello l’ha prodotta. Il numero era probabilmente corretto. Semplicemente non riusciva a dimostrare come fosse finito sulla pagina.

Questa conversazione sta avvenendo ora in ogni azienda tenuta a depositare una dichiarazione di sostenibilità, ed è la conversazione che decide se l’opinione di assurance viene firmata.

Cosa cambia per il 2026

Le aziende Wave 1, i grandi enti di interesse pubblico già soggetti alla Corporate Sustainability Reporting Directive, stanno pubblicando nel 2026 le dichiarazioni di sostenibilità dell’esercizio 2025, e queste dichiarazioni portano con sé un’opinione di assurance limitata. Il pacchetto di semplificazione Omnibus dell’UE ha ridotto l’ambito e posticipato le scadenze per le onde successive, ma non ha esonerato la Wave 1, e ha mantenuto l’assurance in vigore. Ha anche eliminato l’escalation prevista da assurance limitata a ragionevole, quindi l’assurance limitata resta lo standard a tempo indeterminato. Il lavoro di assurance in sé sta convergendo verso il framework ISSA 5000 dello IAASB, lo standard internazionale costruito specificamente per le informazioni di sostenibilità.

«Limitata» sta facendo un lavoro piuttosto fuorviante in questa espressione. Un incarico di assurance limitata è più leggero di un audit finanziario completo per il livello di garanzia che esprime, ma il fornitore di assurance deve comunque progettare procedure, verificare come sono stati prodotti i numeri e decidere se qualcosa rende la dichiarazione materialmente errata. E la procedura che manda in crisi il reporting assistito dall’IA è la più basilare di tutte: ricondurre questa cifra alla sua fonte.

Perché l’IA rende la questione della provenienza più difficile, non più facile

Molti team ESG oggi si appoggiano all’IA per estrarre numeri da bollette energetiche, questionari fornitori, esportazioni ERP e fogli di calcolo dell’anno scorso, e poi per riassumere e assemblare le disclosure. L’output si legge in modo pulito. Il problema sta in ciò che c’è sotto.

Un modello linguistico che legge una bolletta energetica in PDF e riporta un valore di consumo non ha lasciato, nella maggior parte delle configurazioni, alcuna traccia duratura di quale riga di quale documento abbia letto, cosa abbia fatto con quel valore, o se il documento letto sia la stessa versione che verrà consegnata al revisore tre mesi dopo. La cifra esiste. La catena di custodia no. Quando un fornitore di assurance chiede «mostrami la fonte di questo numero», uno screenshot della risposta di un chatbot non è una fonte. È un’affermazione su un’affermazione.

Ci sono tre punti di rottura specifici che i revisori sondano:

• La fonte è cambiata. Il fornitore ha ricaricato i dati, l’ERP è stato riestratto, qualcuno ha corretto un errore di unità di misura. L’IA ha risposto sulla versione uno; il report mostra la versione tre; nessuno può dire quale versione riflette la cifra dichiarata.
• Il calcolo è opaco. È stato applicato un fattore di emissione, sono state convertite valute, un anno parziale è stato annualizzato. Se il calcolo è avvenuto all’interno del ragionamento del modello invece che come passaggio esplicito e ispezionabile, non può essere rieseguito e confermato.
• La modifica è invisibile. Un essere umano ha corretto un numero dopo che il modello lo ha prodotto. Ragionevole, forse. Ma senza un log con timestamp di chi ha cambiato cosa e quando, il team di assurance considera l’intera cifra non verificabile.

Ognuno di questi punti è gestibile per una singola metrica. Su qualche centinaio di datapoint ESRS, si sommano fino a diventare un’opinione che il revisore non può firmare con serenità.

Cosa richiede davvero “verificabile”

Togliendo il vocabolario specifico dell’ESG, i fornitori di assurance chiedono le stesse quattro cose che qualsiasi controller chiederebbe a un processo di chiusura: lineage dei dati, governance, documentazione e coerenza. Per le cifre assistite dall’IA, questo si traduce in meccanismi concreti.

Fonti versionate. Ogni input, la fattura, l’esportazione, il questionario, deve essere catturato come versione fissa e identificabile nel momento in cui una cifra viene derivata da esso. Quando la fonte cambia, si tratta di una nuova versione, e il numero dichiarato è vincolato a quello su cui è stato effettivamente costruito. È la stessa disciplina che il regime tedesco GoBD richiede da anni ai dati finanziari, ora in arrivo anche per i dati di sostenibilità.

Calcoli riproducibili. Il passaggio che trasforma i kilowattora in tonnellate di CO2, o la spesa in valuta locale in una base comparabile, deve essere un’operazione esplicita che gira allo stesso modo ogni volta, non un’inferenza estemporanea sepolta in un prompt. Dai al revisore gli input e dovrebbe arrivare allo stesso identico output.

Una traccia di audit completa. Versione della fonte, calcolo eseguito, cifra prodotta, e ogni modifica successiva, tutto con timestamp, tutto attribuibile. Questo è l’artefatto che trasforma il «fidati di noi» in «ecco, verifica tu stesso». Abbiamo scritto più diffusamente su cosa deve contenere una vera traccia di audit per l’IA in finanza, e i requisiti non sono negoziabili per il lavoro di assurance.

Dove conta il motore deterministico

Questa è la distinzione a cui continuiamo a tornare in Rexfin, perché è quella che separa una demo di IA da qualcosa che un team di assurance accetterà. Il modello linguistico è eccellente nel trovare il numero giusto e capire cosa viene chiesto. È lo strumento sbagliato per calcolare il numero.

Rexfin si collega ai sistemi in cui i tuoi dati già vivono, piattaforme contabili, ERP, data warehouse, o rendiconti e disclosure caricati, e costruisce un unico modello riconciliato che si ricollega ai dati sottostanti. Quando serve una cifra, l’IA la recupera; un motore di calcolo separato e deterministico esegue l’aritmetica, allo stesso modo ogni volta. Ogni risultato si ricollega a una fonte versionata e all’operazione esatta che lo ha prodotto. Il modello non fa mai silenziosamente calcoli a mente e ti consegna una stima sicura di sé. Questa architettura è tutto il senso di far passare la matematica attraverso un motore deterministico invece che attraverso l’LLM, ed è ciò che rende una cifra dichiarata difendibile invece che semplicemente plausibile.

Vale la pena essere onesti sui limiti. Nulla di tutto questo giudica se la tua metodologia sulle emissioni sia solida o se la tua valutazione di materialità sia completa; quelle sono decisioni che il tuo team continua a possedere. Ciò che l’architettura garantisce è più circoscritto e, per un’opinione di assurance, più utile: che qualsiasi numero tu dichiari possa essere tracciato, riprodotto e dimostrato invariato da quando è stato prodotto.

Il punto

La stagione di assurance 2026 è il primo vero banco di prova per capire se il reporting di sostenibilità assistito dall’IA può reggere allo scrutinio. Le aziende che ce la faranno non saranno quelle con l’IA più impressionante. Saranno quelle in grado di rispondere «da dove viene questo numero» senza esitare, per ogni cifra sulla pagina, alla prima richiesta. Se il tuo attuale strumento ESG produce risposte pulite ma nessuna catena di custodia, hai un problema per il 2026 che nessun lavoro sulla metodologia potrà risolvere.

Se vuoi vedere come sono fatte fonti versionate, un motore di calcolo deterministico e una traccia di audit da cella a fonte applicate ai tuoi numeri, prenota una demo e porta la cifra che il tuo revisore metterà più probabilmente in discussione.