不少企業編製ESG報告的方式，仍停留在「年底追數」：由可持續發展部門向各附屬公司發出Excel表格，再由人力資源、行政、採購及廠房逐項填寫。表面上，碳排放、用水量、工傷率及員工流失率都有數字；實際上，這些數字可能來自不同系統、不同期間，甚至採用不同定義。報告最後雖能如期出版，卻未必經得起董事會、投資者及核證機構追問。
財務數據之所以相對可靠，不只是因為有會計準則，而是每一項數字背後都有責任人、原始憑證、審批權限及覆核程序。ESG數據若只靠電郵收集及人手拼表，最大風險並非計算公式出錯，而是企業根本無法證明數字如何形成。
例如，「員工人數」究竟包括派遣工、兼職員工及年內離職者，還是只計報告期末的全職僱員？工傷率採用工作時數還是平均人數作為分母？範圍一旦不同，同一企業不同年度的數據也可能失去可比性。至於碳排放，電力用量來自帳單、智能電錶還是物業管理公司的分攤數據，亦會直接影響結果。
因此，每項重要指標都必須設立「數據擁有人」。擁有人不一定是ESG部門，而應是最接近數據來源、並有能力解釋變動的業務部門。人力資源數據由人事部負責，能源及排放數據由設施或營運部門負責，採購及供應鏈數據則由採購部管理。ESG團隊的角色，是制定統一口徑、進行合理性檢查，並統籌對外披露，而不是在年底代替所有部門猜測數字。
從數據字典走向完整審計軌跡
建立ESG內控的第一步，是編製數據字典。企業須為每項指標列明定義、計算公式、單位、涵蓋期間、資料來源、提交頻率及責任部門。例如，同樣是「溫室氣體排放」，便要區分範圍一、範圍二及範圍三，說明所採用的排放因子、計算方法，以及是否包括海外辦事處、合營企業和外判營運。
組織邊界尤其容易被忽略。企業完成收購、出售附屬公司或更改租賃安排後，ESG數據的涵蓋範圍可能隨之改變。若收入及資產已納入合併財務報表，相關排放和員工數據卻仍被排除，便會造成財務與非財務披露邊界不一致。企業應預先訂明採用營運控制、財務控制或股權比例方法，並為重大邊界變動設定重列及解釋機制。
第二步是建立權限與憑證管理。數據提交者、覆核者及最終批准者應由不同人員擔任，避免一人同時輸入、修改及確認。每個數字亦須連結至帳單、系統報表、培訓紀錄、事故報告或供應商證明等原始文件。即使資料仍由Excel收集，也應採用版本控制、鎖定公式及統一檔案命名，避免多個副本流轉後無法判斷哪一份才是最終版本。
第三步是把ESG平台與企業現有系統連接。人力資源、企業資源規劃、採購、差旅、能源管理及財務系統，本身已儲存大量可持續發展數據。透過系統接口自動提取，可以減少重複輸入，但自動化並不等於沒有風險。接口是否完整、欄位映射是否正確、系統更新後是否改變計算邏輯，同樣需要測試及定期覆核。
企業還要建立正式的更正流程。已提交的數據不能在沒有解釋的情況下被覆蓋；任何修改均應記錄修改人、時間、原因、原數值及新數值。若變動超過預設門檻，便應由較高層級重新批准。這條由原始憑證、系統輸入、人工調整、管理層覆核至公開披露形成的完整鏈條，就是ESG數據的審計軌跡。
內容支持：蘭谷股份（08072）
