mi empresa tiene gestión de riesgos para sostenibilidad y ESG

La gestión de riesgos para ESG depende de un proceso concreto

La mayoría de cuestionarios de clientes quieren saber si existe un proceso estructurado: qué riesgos de sostenibilidad se han identificado, con qué frecuencia se revisan, y quién es responsable. Un párrafo suelto en el informe anual sobre "la sostenibilidad nos parece importante" generalmente no es suficiente como respuesta. Lo que cuenta es un proceso reconocible: un inventario de riesgos, un responsable por riesgo, y un ritmo establecido de actualización — incluso si ese proceso es sencillo.

Para una empresa de pymes que no está sujeta a la obligación de información de la CSRD, el módulo básico de la norma VSME es un buen punto de referencia: no exige un sistema de gestión de riesgos exhaustivo, sino información mínima y fáctica sobre los principales temas ESG relevantes para la empresa. Si no tienes eso, entonces "no, aún no se ha establecido" es una respuesta más honesta que un vago "sí" — especialmente porque los clientes cada vez más vinculan este elemento a preguntas complementarias sobre la composición de la junta directiva y a una política contra la corrupción, para las cuales se necesitan pruebas complementarias.

De dónde proviene esto: ámbito de aplicación de la CSRD y módulo básico de VSME

La Directiva (UE) 2022/2464, la CSRD, obliga a las grandes empresas y empresas cotizadas a informar extensamente sobre riesgos de sostenibilidad, incluidos la gobernanza y los procesos de gestión de riesgos. Si no estás sujeto a esto — la mayoría de proveedores de pymes no lo están — entonces esa obligación no te aplica, pero los clientes suelen seguir solicitando la información subyacente porque ellos mismos sí están sujetos a obligaciones de información y tienen que incluir la cadena de suministro. El módulo básico de VSME de EFRAG se ha desarrollado especialmente para esa situación: un conjunto voluntario y reducido de preguntas con el que una empresa no sujeta a obligaciones de información puede aún así proporcionar una respuesta estructurada, sin la carga completa de la CSRD. Si falta un proceso de riesgo concreto, entonces es un hecho fáctico que simplemente puedes comunicar — rellenar una suposición o promesa no añade prueba alguna y en un control posterior solo genera una contradicción.