一份 ESG 报告，几十项指标，几百个数据点。投资者开始当真，监管开始要求，问题就来了：这些数字谁负责。
管理层负责编制，这一点没有争议。有争议的是，第三方能提供什么程度的保证。
一、从自愿到强制的过渡
过去 ESG 报告多为自愿披露，内容自选、口径自定、数据自报。现在逐步转向强制或者半强制：部分市场要求上市公司披露，部分行业要求专项披露。
强制化带来的第一个变化是可比性。同一行业的企业要用同一套指标，不能各说各话。
第二个变化是可验证性。指标要能追溯到原始数据，不能只有一个汇总数字。
第三个变化是责任。披露不实可能构成虚假陈述，管理层与董事要承担责任，第三方鉴证机构也可能被追责。
二、两种保证程度
有限保证：以消极方式表述结论，比如「未发现重大错报」。程序以询问、分析为主，样本量较小。
合理保证：以积极方式表述结论，比如「在所有重大方面公允反映」。程序更充分，样本量更大，成本更高。
目前市场上的 ESG 鉴证绝大多数是有限保证，原因有三：标准不统一、数据基础薄弱、成本考虑。
两种保证的差距，本质是程序量与证据量的差距。企业对外宣传时不能说「经第三方审计」，只能说「经第三方鉴证」，而且要说清保证程度。
这一点在融资场景里尤其重要。银行、投资人对「鉴证」两个字的理解往往高于实际，企业有义务在报告中写清楚：这是有限保证，程序少于审计。
三、鉴证对象与标准的确定
鉴证对象是报告中的特定信息，不是整份报告。常见对象包括：温室气体排放量、能源消耗、用水量、废弃物、员工构成、安全事故率、供应链审核覆盖率。
鉴证标准是判断信息是否恰当的基准。可以是国际标准、行业指南、企业自定的内部标准。
标准要满足两个条件：适当性（相关性、完整性、可靠性、中立性）与可获取性（使用者能获得）。
标准不明确，鉴证就无法进行。企业自己发明一套指标、又不说明计算方法，第三方只能拒绝或者出具保留结论。
实务中的做法是先定标准、再编数据。顺序反了，数据编完才发现口径不可比，只能推倒重来，成本翻倍，时间也翻倍。
四、关键绩效指标的核查方法
第一步，理解口径。这个指标怎么定义、边界在哪、包含哪些主体、用什么因子。口径不清，数字就没有意义。
第二步，穿行测试。挑一个数据点，从原始凭证走到汇总报表，看中间有没有人工调整、调整是否有依据。
第三步，重新计算。对可计算的指标（如排放量等于活动数据乘排放因子），独立重算，与报告数字比对。
第四步，分析性程序。同比、环比、与产能或者收入的比率，异常波动要解释。
第五步，现场访问。看计量设备、看台账、看数据采集系统。纯远程核查，证据强度不足。
五、数据系统的内控要求
ESG 数据的特点是分散：电费在后勤、水费在物业、员工数据在人力、供应链数据在采购。
分散带来三个风险：数据遗漏、口径不一、重复计算。对应的控制是：统一的指标定义、明确的责任人、集中的归集平台。
鉴证时要评价这套控制：有没有制度、有没有人负责、有没有复核、有没有留痕。
控制薄弱时，只能扩大实质性程序。这也是很多 ESG 鉴证项目成本高的原因：数据靠人工收集，核查只能靠人工比对。
六、鉴证报告的要素
一份完整的鉴证报告通常包括：标题、收件人、鉴证对象、标准、保证程度、结论、编制责任与鉴证责任、所执行程序的说明、限制使用条款、签字与日期。
结论部分要与保证程度匹配。有限保证用「未发现……存在重大错报」，合理保证用「在所有重大方面……公允反映」。
还要说明固有限制：ESG 数据涉及估计与判断，部分信息依赖第三方提供，未经独立验证。
日期不能早于报告获批日。签字方要具备相应资质，通常是会计师事务所或者专业鉴证机构。
七、一个范围二数据口径不一致的案例
某制造企业发布年度 ESG 报告，披露温室气体排放总量为四万二千吨二氧化碳当量，其中范围二（外购电力）为二万一千吨。
鉴证机构在核查时发现，企业用的是全国电网平均排放因子，但报告期内企业有两个厂区已签订绿电采购协议，采购量占总用电量的百分之二十三。
按市场法口径，这部分绿电应使用供应商提供的排放因子，范围二排放量应下降约四千二百吨。企业未采用市场法，也未披露口径选择。
进一步核查还发现，其中一个厂区的电费由物业统一收取，再分摊给企业，用电量按面积估算，而非实际计量。
最终处理：企业补充披露排放核算方法的选用依据，范围二同时列示位置法与市场法两个结果，并对估算部分作出说明。鉴证结论为有限保证，另以「强调事项」段落提示估算部分的不确定性。
八、ESG 鉴证清单
- 鉴证对象已明确，逐项列出纳入鉴证的指标
- 鉴证标准适当且可获取，指标定义与计算方法已成文
- 保证程度（有限或合理）与程序量匹配
- 组织边界与运营边界已界定，合并范围与财务报告一致
- 排放因子、换算系数的来源已核实，版本与年度匹配
- 位置法与市场法的选择已披露，未混用
- 关键指标已执行穿行测试与重新计算
- 数据采集的责任人、复核人、留痕记录已核查
- 估算数据、第三方提供的数据已单独标识并说明局限
- 鉴证报告的结论表述与保证程度一致，日期不早于报告获批日
ESG 鉴证的价值不在签字，在把那些模糊的表述逼成可以追溯的数字。数字站得住，报告才有分量，也才经得起事后的复核。
