Weryfikacja, walidacja i atestacja — czym się różnią w ESG i śladzie węglowym?

Weryfikacja, walidacja, atestacja, do tego audyt, certyfikacja i akredytacja — wokół danych środowiskowych krąży kilka słów o podobnym brzmieniu i łatwo się w nich pogubić. W jednym projekcie klient prosi o „audyt śladu węglowego”, dostawca odpowiada ofertą na weryfikację, a księgowość pyta, kiedy będzie atestacja. Brzmi jak spór o nazewnictwo, a kończy się zamówieniem nie tego dokumentu, którego wymaga odbiorca. Poniżej układamy te pojęcia po kolei:

• Weryfikacja: sprawdza dane o tym, co już się wydarzyło.
• Walidacja: ocenia założenia planu albo celu na przyszłość.
• Atestacja: usługa biegłego rewidenta wobec raportu spółki, zastrzeżona ustawą.

Skąd wzięły się trzy osobne pojęcia?

Pojęcia pochodzą z trzech różnych porządków i dlatego tak trudno je uzgodnić:

• Ocena zgodności. Weryfikacja i walidacja to dwie czynności oceny zgodności opisane w normie PN-EN ISO/IEC 17029:2020-04 „Ocena zgodności. Ogólne zasady i wymagania dla jednostek walidujących i weryfikujących”. Rozróżnia je wymiar czasu: walidacja dotyczy oświadczeń o zamierzonym, przyszłym zastosowaniu, weryfikacja stanu, który już zaistniał.
• Prawo o rachunkowości. Atestacja to termin z ustawy o rachunkowości i ustawy o biegłych rewidentach. Usługa atestacyjna jest zastrzeżona dla biegłych rewidentów działających w imieniu firm audytorskich, pod nadzorem Polskiej Agencji Nadzoru Audytowego.
• Język potoczny. Wszystko powyższe bywa nazywane „audytem”, co jest najczęstszym źródłem nieporozumień: audyt ma własne, węższe znaczenie (o tym na końcu).

Weryfikacja: ocena tego, co już się wydarzyło

Weryfikacja to niezależna ocena oświadczenia: dokumentu, w którym organizacja twierdzi coś o swoich danych. Weryfikator sprawdza, czy oświadczenie jest zgodne z przyjętymi kryteriami, czy dane są kompletne i czy nie zawierają istotnych zniekształceń. Nie liczy za firmę, ocenia to, co firma policzyła. Ocenie podlegają przede wszystkim kompletność danych, poprawność metody i zgodność ze standardem, tak samo jak przy badaniu informacji niefinansowych w sprawozdawczości spółki.

W przypadku śladu węglowego normą bazową jest PN-EN ISO 14064-3:2019-07 „Gazy cieplarniane. Część 3: Specyfikacja i wytyczne weryfikacji oraz walidacji oświadczeń dotyczących gazów cieplarnianych”.

Typowy przebieg weryfikacji wygląda tak:

• uzgodnienie zakresu, kryteriów i poziomu pewności;
• analiza ryzyka istotnego zniekształcenia: gdzie najłatwiej o błąd;
• sprawdzenie danych źródłowych, wskaźników emisji i obliczeń, zwykle na próbie;
• wizyta w zakładzie, jeśli wymaga tego ryzyko albo program;
• zgłoszenie ustaleń i korekty po stronie organizacji;
• wydanie oświadczenia weryfikacyjnego z określonym poziomem pewności.

Określenie „poziom pewności” pada w tym przebiegu dwa razy, na początku i na końcu, i nie jest formalnością: to ono wyznacza rozmach całego badania.

Poziom pewności ustala się na starcie weryfikacji i to on decyduje, ile weryfikator faktycznie zrobi: jak dużą próbkę danych sprawdzi, czy pojedzie na zakład, ile dowodów zażąda. Od niego zależy też, jak mocno brzmi końcowe oświadczenie. Do wyboru są dwa poziomy:

• Ograniczona pewność: zakres prac jest węższy, a wniosek formułuje się przecząco: „nic nie zwróciło naszej uwagi, co kazałoby sądzić, że oświadczenie jest istotnie zniekształcone”. W weryfikacji dobrowolnej to poziom domyślny i najczęściej zamawiany.
• Racjonalna pewność: zakres prac jest szerszy, a wniosek twierdzący: „oświadczenie zostało sporządzone, we wszystkich istotnych aspektach, zgodnie z…”. Kosztuje więcej i trwa dłużej, ale ma największą wartość dowodową.

Różnica nie jest kosmetyczna: przy tym samym przedmiocie koszt i czas rosną wraz z poziomem pewności, a razem z nimi rośnie waga dokumentu w oczach odbiorcy. Jeśli klient wymaga „zweryfikowanych danych”, warto dopytać, jakiego poziomu oczekuje; to najczęstsza przyczyna rozjazdu oczekiwań w ofertach.

W atestacji sprawozdawczości ESG tego wyboru nie ma: CSRD przewidziała ograniczoną pewność i przy niej pozostało, bo pakiet Omnibus wycofał zapowiadane przejście na poziom wyższy. Racjonalna pewność zostaje więc tam, gdzie była od zawsze: w badaniu sprawozdania finansowego.

Walidacja: ocena tego, co ma się dopiero wydarzyć

Walidacja różni się od weryfikacji jedną podstawową kwestią: przedmiotem oceny jest przyszłość. Ocenia się nie fakty, tylko czy założenia, metoda i dane wejściowe są na tyle wiarygodne, że zapowiadany wynik da się uznać za uzasadniony.

Oto trzy przykładowe sytuacje, które podlegają walidacji:

• projekt redukcji emisji: plan przedsięwzięcia, które ma przynieść określoną redukcję. Walidacji podlega dokument projektowy, zanim cokolwiek zostanie zrealizowane, a późniejsze efekty podlegają już weryfikacji;
• cele klimatyczne: ocena celów zgłoszonych do Science Based Targets initiative; SBTi używa wprost słowa „walidacja”, bo ocenia zamierzenie na 2030 czy 2050 r. Prowadzimy takie zgłoszenie i weryfikację celów do SBTi;
• prognozy i scenariusze: na przykład deklarowana charakterystyka projektowanego budynku albo zapowiadany efekt modernizacji.

Stąd praktyczny wniosek: to samo przedsięwzięcie przechodzi najpierw walidację, potem weryfikację. Najpierw ktoś ocenia plan, później, po latach, rzeczywiste wyniki.

Rodzina norm ISO 14064: gdzie leży walidacja, a gdzie weryfikacja?

Cała trójka pojęć spotyka się w jednej rodzinie norm. Norma ISO 14064 to zestaw wytycznych dotyczących zarządzania i raportowania emisji; składa się z trzech części i każda odpowiada na inne pytanie:

• ISO 14064-1: jak przeprowadzić inwentaryzację i ilościowe określenie emisji oraz pochłaniania gazów cieplarnianych na poziomie organizacji: jak wyznaczyć granice, zidentyfikować źródła emisji, dobrać wskaźniki i zapewnić dokładność danych;
• ISO 14064-2: jak opisać projekt, który ma przynieść redukcję emisji albo zwiększyć pochłanianie, i jak monitorować jego efekty;
• ISO 14064-3: jak prowadzić weryfikację i walidację oświadczeń dotyczących emisji gazów cieplarnianych, niezależnie od tego, czy powstały według części pierwszej, czy drugiej.

Układ jest więc prosty: części 1 i 2 mówią, jak policzyć i opisać, a część 3 mówi, jak to sprawdzić. Do tego dochodzą wymagania dotyczące samych jednostek (ISO 14065) i ogólne zasady oceny zgodności (ISO/IEC 17029). W zakresie weryfikacji emisji GHG to właśnie ten komplet jest podstawą większości usług weryfikacji na rynku, także naszych.

Stąd bierze się częste nieporozumienie zakupowe: nie ma czegoś takiego jak certyfikat ISO 14064 w rozumieniu certyfikacji systemu zarządzania. Wdrożenie zasad zarządzania gazami cieplarnianymi potwierdza się inaczej: przez walidację i weryfikację: walidacja projektów redukcyjnych odbywa się według części drugiej, a niezależna weryfikacja policzonych emisji zgodnie z normą ISO 14064-3. Efektem jest oświadczenie weryfikacyjne, a nie certyfikat z datą ważności. To rozróżnienie warto mieć w głowie, czytając oferty, w których „certyfikacja ISO 14064” pojawia się jako nazwa usługi.

Osobno działa GHG Protocol: to standard raportowania emisji, z którego korzysta większość firm, ale sam nie zawiera reguł weryfikacji. Dlatego wynik policzony według GHG Protocol sprawdza się zwykle z wykorzystaniem ISO 14064-3.

Po co firmy zamawiają weryfikację emisji gazów cieplarnianych, skoro rzadko wymaga tego przepis? Poniżej trzy powody:

• Klient w łańcuchu dostaw: sprawdza dostawcę w ramach należytej staranności.
• Bank albo inwestor: patrzy na sprawozdawczość w zakresie zrównoważonego rozwoju.
• Sama firma: potrzebuje pewności, zanim ogłosi cel ograniczenia emisji albo dojścia do zerowej emisji netto.

Atestacja: usługa biegłego rewidenta wobec sprawozdawczości zrównoważonego rozwoju

Najprościej: atestacja to badanie gotowego raportu, a nie liczenie czegokolwiek za firmę. Biegły rewident dostaje sporządzone już sprawozdanie zrównoważonego rozwoju, sprawdza, czy powstało zgodnie z regułami, i podpisuje własny, osobny dokument, w którym mówi rynkowi, na ile temu sprawozdaniu można ufać. Nie ocenia, czy firma jest „eko”, nie poprawia jej danych i nie liczy za nią emisji: ocenia wiarygodność opisu, który spółka sama o sobie opublikowała.

Usługa atestacyjna pierwotnie dotyczyła wyłącznie sprawozdań finansowych: biegły rewident badał bilans i rachunek zysków i strat, a potem wydawał opinię dla akcjonariuszy. Dyrektywa CSRD rozszerzyła dokładnie ten mechanizm na sprawozdawczość zrównoważonego rozwoju: ten sam zawód, ten sam nadzór i ta sama logika niezależnego podpisu, tylko przedmiotem jest raport ESG zamiast liczb finansowych. Stąd bierze się cała reszta zasad: kto może to robić, według jakiego standardu i jak brzmi końcowy wniosek.

W Polsce wprowadziła to ustawa z 6 grudnia 2024 r., zmieniająca ustawę o rachunkowości oraz ustawę o biegłych rewidentach, firmach audytorskich i nadzorze publicznym. Sprawozdawczość przygotowana według europejskich standardów ESRS podlega ocenie biegłego rewidenta tak samo, jak sprawozdanie finansowe podlega badaniu.

Tak to działa w praktyce:

• Kto. W Polsce usługę atestacyjną wykonuje biegły rewident w imieniu firmy audytorskiej. Dyrektywa pozwalała państwom dopuścić także niezależnych dostawców usług atestacyjnych; polski ustawodawca z tej opcji nie skorzystał.
• Według czego. Krajowy Standard Usług Atestacyjnych 3002PL „Usługa atestacyjna dająca ograniczoną pewność dotycząca sprawozdawczości zrównoważonego rozwoju”, przyjęty uchwałą Krajowej Rady Biegłych Rewidentów z 23 stycznia 2025 r. Stosuje się go po raz pierwszy do sprawozdawczości za lata obrotowe rozpoczynające się po 31 grudnia 2023 r. i obowiązuje do czasu wejścia w życie standardu unijnego, który Komisja Europejska ma wydać do 1 lipca 2027 r.
• Co jest oceniane. Zgodność ujawnień ze standardami ESRS, zgodność ujawnień taksonomicznych z rozporządzeniem o taksonomii oraz poprawność oznakowania (tagowania) sprawozdania.
• Z jakim skutkiem. Sprawozdanie z atestacji dającej ograniczoną pewność, publikowane razem ze sprawozdaniem zrównoważonego rozwoju.

W praktyce międzynarodowej ten sam poziom nazywa się limited assurance, a wyższy reasonable assurance; polskie „ograniczona pewność” to dokładnie limited assurance. Odbiorcą tego dokumentu jest przede wszystkim inwestor i bank, dla których wiarygodność danych ESG ma taką samą wagę jak wiarygodność danych finansowych. Poza obowiązkiem unijnym firmy raportują też według standardów GRI albo ISSB: wtedy zakres i forma zapewnienia wynikają z umowy, a nie z wymogów UE.

Sam proces atestacji przypomina badanie sprawozdania finansowego i biegnie w czterech krokach: planowanie oparte na zrozumieniu jednostki i jej otoczenia, ocena procesu, w którym spółka przeprowadziła analizę podwójnej istotności, badanie wybranych ujawnień i danych źródłowych, wreszcie sformułowanie wniosku. Biegły rewident sprawdza między innymi, czy spółka prawidłowo zidentyfikowała interesariuszy i tematy istotne, bo to od nich zależy, co w ogóle powinno znaleźć się w raporcie.

Dlatego zdanie „potrzebujemy atestacji śladu węglowego” jest zwykle nieporozumieniem. Ślad węglowy sam w sobie podlega weryfikacji; atestacji podlega całe sprawozdanie zrównoważonego rozwoju, w którym ten ślad jest jednym z ujawnień.

Kogo dotyczy obowiązek atestacji po przyjęciu pakietu Omnibus?

Zakres podmiotowy zmienił się w 2026 r. i to najczęstsze źródło nieaktualnych informacji w sieci. Obowiązek raportowania zrównoważonego rozwoju, a razem z nim atestacja raportów zrównoważonego rozwoju, objął znacznie mniejszą grupę firm, niż zakładała pierwotna wersja CSRD.

• Dyrektywa Omnibus I: dyrektywa (UE) 2026/470 z 26 lutego 2026 r. zawęziła obowiązek zasadniczo do jednostek i grup kapitałowych zatrudniających ponad 1000 pracowników i osiągających ponad 450 mln euro przychodów netto ze sprzedaży rocznie.
• Poziom pewności został utrzymany na poziomie ograniczonym. Zrezygnowano z zapowiadanego przejścia na wyższy poziom, więc atestacja pozostaje usługą dającą ograniczoną pewność.
• Standard unijny ma zostać wydany przez Komisję Europejską do 1 lipca 2027 r.; do tego czasu w Polsce stosuje się KSUA 3002PL. Termin transpozycji dyrektywy do prawa krajowego upływa 19 marca 2027 r.
• W Polsce ustawa z 27 lutego 2026 r. o zmianie ustawy o rachunkowości, ogłoszona 13 marca 2026 r., wprowadziła zwolnienie ze sprawozdawczości za lata 2025 i 2026 dla jednostek, które wypadły z nowego zakresu.

Warto pamiętać, skąd to się wzięło: obowiązek ujawnień niefinansowych wprowadziła dyrektywa NFRD, CSRD go rozszerzyła i ujednoliciła standardami ESRS, a pakiet Omnibus cofnął część tego rozszerzenia. Firmy spoza progu nadal bywają pytane o dane, nie przez regulację, tylko przez klientów, banki i duże przedsiębiorstwa w łańcuchu dostaw. Dla nich zostaje dobrowolna weryfikacja danych, opisana wyżej.

Weryfikacja, walidacja i atestacja: porównanie

Pięć sytuacji, w których te pojęcia są mylone

• Ślad węglowy organizacji. Policzony wynik za zamknięty rok podlega weryfikacji śladu węglowego, a nie atestacji. Jeżeli ten sam wynik trafia do sprawozdania zrównoważonego rozwoju spółki objętej CSRD, obejmie go dodatkowo atestacja biegłego rewidenta, jako jedno z ujawnień, nie jako osobny dokument.
• Deklaracja EPD. Przed publikacją deklarację sprawdza niezależny weryfikator według zasad programu i normy ISO 14025. To klasyczna weryfikacja danych z przeszłości; opisujemy ją przy usłudze weryfikacji EPD, a wcześniej sprawdzamy sam model w ramach weryfikacji raportu LCA.
• Cele SBTi. Zgłoszony cel przechodzi walidację, bo dotyczy 2030 albo 2050 r. Po latach to, czy firma cel zrealizowała, sprawdza się już weryfikacją danych.
• EU ETS. Roczny raport emisji instalacji weryfikuje akredytowany weryfikator na podstawie rozporządzenia wykonawczego (UE) 2018/2067. Tu słowo „weryfikacja” jest terminem prawnym, a nie umową między stronami.
• Twierdzenia środowiskowe. Hasło „w 100% z recyklingu” na opakowaniu nie jest ani atestowane, ani walidowane: podlega ocenie zgodności z normą ISO 14021, czyli weryfikacji twierdzeń środowiskowych. Kontekst prawny tego obszaru opisuje tekst o etykietach i deklaracjach środowiskowych typu I, II i III.

Audyt, certyfikacja, akredytacja: trzy dodatkowe pojęcia, które dokładają zamieszania

• Audyt: systematyczne badanie, czy działalność spełnia ustalone kryteria; w praktyce najczęściej dotyczy systemu zarządzania, a nie pojedynczego oświadczenia z liczbami. Wytyczne audytowania systemów zarządzania podaje ISO 19011.
• Certyfikacja: potwierdzenie przez jednostkę certyfikującą, że system albo wyrób spełnia wymagania normy, na przykład ISO 14001. Kończy się certyfikatem ważnym przez określony czas, a nie oświadczeniem o konkretnych danych.
• Akredytacja: potwierdzenie kompetencji samej jednostki. W Polsce udziela jej Polskie Centrum Akredytacji; dla jednostek walidujących i weryfikujących podstawą są PN-EN ISO/IEC 17029 i normy uzupełniające, w tym ISO 14065.

Krótko: akredytacja mówi, komu wolno; certyfikacja dotyczy systemu; audyt to metoda badania; weryfikacja i walidacja dotyczą oświadczenia z danymi; atestacja dotyczy sprawozdawczości spółki.

Czego potrzebujesz? Trzy pytania rozstrzygające

Zanim zamówisz usługę, warto odpowiedzieć na trzy pytania. Odpowiedzi jednoznacznie wskazują właściwą ścieżkę:

• Kto tego wymaga? Jeżeli przepis, sprawdź, którym słowem się posługuje. CSRD mówi o atestacji, EU ETS o weryfikacji, programy EPD o weryfikacji, SBTi o walidacji. Jeżeli klient albo przetarg, poproś o wskazanie normy lub programu.
• Czego dotyczy dokument? Danych za zamknięty okres: weryfikacja. Planu, prognozy albo celu: walidacja.
• Jakiego poziomu pewności oczekuje odbiorca? Ograniczona pewność wystarcza w większości zastosowań rynkowych; racjonalna pewność bywa wymagana przy sprawozdawczości i w postępowaniach o wyższej stawce.

Najczęściej zadawane pytania

Potrzebujesz weryfikacji, która obroni się przed odbiorcą?

Prowadzimy weryfikację śladu węglowego organizacji i śladu węglowego produktu, weryfikację deklaracji EPD, weryfikację raportu LCA wraz z przeglądem krytycznym oraz weryfikację twierdzeń środowiskowych według ISO 14021. Wszystkie usługi w jednym miejscu: weryfikacja i walidacja.

Jeżeli dopiero przygotowujesz dane, zacznij od obliczenia śladu węglowego organizacji albo analizy LCA.