ESG als Thema im Unternehmen: Pflichten, Strukturen und Belegbarkeit

Mit der CSRD (Richtlinie (EU) 2022/2464) und den ESRS-Standards (Delegierte Verordnung (EU) 2023/2772) ist ESG seit 2024 ein berichts- und prüfungspflichtiges Thema, das mit einer Wirtschaftsprüfer-Testierung gleichgesetzt wird. Wer 2026 unter die zweite Welle fällt, prüft nicht mehr, ob ESG relevant ist, sondern wie die Datenflüsse, Rollen und Nachweise belegbar werden.

Dieser Beitrag ordnet ESG als operatives Thema ein: Welche Pflichten aus CSRD, LkSG, EU-Taxonomie und der CSDDD greifen für welche Größenklasse, welche Rollen ein Unternehmen braucht und wie die Nachweise audit-fest dokumentiert werden. Sie erhalten eine klare Trennung zwischen Pflicht, Erwartung und Best Practice, ergänzt um die CIVAC-Sicht auf Workspace, Bestellurkunde und Berichtslinie.

ESG steht für Environment, Social und Governance und beschreibt drei Dimensionen, an denen Unternehmen seit der CSRD verbindlich gemessen werden. Die Richtlinie (EU) 2022/2464 erweitert den Anwenderkreis von etwa 11.700 auf rund 50.000 Unternehmen in der EU, in Deutschland sind es nach Schätzungen des DRSC etwa 15.000.

Die zweite Welle erfasst zum Geschäftsjahr 2025 alle großen Kapitalgesellschaften nach § 267 Abs. 3 HGB, die zwei der drei Schwellen reissen: 25 Mio. Euro Bilanzsumme, 50 Mio. Euro Umsatz, 250 Mitarbeitende. Damit fällt der gehobene Mittelstand erstmals in die Pflicht.

Parallel greifen das LkSG (seit 2024 ab 1.000 Mitarbeitende), die EU-Taxonomie (Verordnung (EU) 2020/852) sowie ab 2027 die Corporate Sustainability Due Diligence Directive (CSDDD). ESG ist damit kein einzelnes Thema mehr, sondern ein Bündel paralleler Pflichtenkreise.

Wer ESG als Reputationsfeld behandelt, übersieht die Prüfungspflicht: Der Nachhaltigkeitsbericht ist ab 2025 mit limited assurance durch den Wirtschaftsprüfer zu testieren, ab 2028 ist reasonable assurance vorgesehen. Die Belegbarkeit der Datenflüsse wird damit gleichrangig zur Finanzberichterstattung.

Für die operative Verantwortung verweist die Praxis auf die Rolle des ESG- oder Nachhaltigkeitsbeauftragten. Wie diese Rolle zugeschnitten wird, beschreibt die CIVAC-Seite zum ESG- und Nachhaltigkeitsbeauftragten samt Bestellurkunde, Berichtslinie und Aufgabenkatalog.

Wer den Schritt vom Thema zur Pflicht verpasst, riskiert nicht nur Bußgelder nach § 334 HGB, sondern auch eine Versagung des Bestätigungsvermerks. Das ist regelmäßig kapitalmarktrelevant und finanzierungskritisch und nicht durch nachträgliche PR-Maßnahmen heilbar.

Die ESRS-Standards bündeln ESG in zwölf thematischen Modulen: ESRS E1 bis E5 für Umwelt, S1 bis S4 für Soziales, G1 für Governance, ergänzt um die übergreifenden ESRS 1 und 2. Insgesamt definieren sie 1.144 Datenpunkte, von denen nach der wesentlichkeitsbasierten Logik etwa 270 als verpflichtend gelten.

Im Umweltbereich dominiert ESRS E1 Klimawandel mit Scope-1-, Scope-2- und Scope-3-Emissionen nach GHG Protocol. Hinzu kommen ESRS E2 Umweltverschmutzung, E3 Wasser und Meeresressourcen, E4 Biodiversität und E5 Kreislaufwirtschaft, was Unternehmen zu einer kompletten ökologischen Bilanz zwingt.

Im sozialen Bereich verlangt ESRS S1 detaillierte Angaben zu eigenen Arbeitskräften: Lohngleichheit, Diversität, Gesundheit, Arbeitsunfälle, Tarifbindung. ESRS S2 erweitert die Pflicht auf die Wertschöpfungskette, ESRS S3 auf betroffene Gemeinschaften, ESRS S4 auf Endnutzer und Konsumenten.

ESRS G1 Geschäftsverhalten verzahnt sich mit klassischen Compliance-Themen: Antikorruption, Lobbying, Zahlungspraktiken gegenüber Lieferanten, Whistleblowing nach HinSchG. Damit treffen sich ESG und das Aufgabenfeld des Compliance-Beauftragten direkt im Berichtspflichtenkreis.

Quer dazu liegt die EU-Taxonomie mit ihren sechs Umweltzielen und den Kriterien für ökologisch nachhaltige Wirtschaftstätigkeiten. Sie zwingt Unternehmen, drei Kennzahlen offenzulegen: taxonomiefähigen Umsatz, CapEx und OpEx, was eine technische Detailtiefe verlangt, die ohne Datenmodell nicht erreichbar ist.

Operativ bedeutet das: Jedes der zwölf Module benötigt eine eigene Datenquelle, einen Verantwortlichen und eine Audit-Spur. Die CIVAC-Fakten dokumentieren, wie 490 Audit-Vorlagen diesen Pflichtenkreis abdecken, ohne dass eine Excel-Insellösung entsteht.

Die ESRS-Standards stehen auf dem Prinzip der doppelten Wesentlichkeit, geregelt in ESRS 1 Kapitel 3. Ein Thema ist berichtspflichtig, sobald es entweder finanziell wesentlich (Einfluss auf Cashflow, Reputation, Kapitalkosten) oder Impact-wesentlich (Auswirkung auf Mensch und Umwelt) ist. Beide Perspektiven sind gleichrangig.

Diese Doppellogik kippt die klassische Risikobetrachtung: Ein Thema mit geringem finanziellen Risiko, aber hohem Umweltimpact, ist trotzdem zu berichten. Ebenso ein Thema mit hohem finanziellen Risiko, aber niedrigem Aussenimpact. Die Filterung muss methodisch belegt und nicht intuitiv erfolgen.

Praktisch verlangt der Prüfer eine Wesentlichkeitsanalyse mit dokumentierten Stakeholder-Interviews, einer Bewertungsmatrix, einer Schwellenwertdefinition und einer nachvollziehbaren Begründung, warum ein Thema in oder out ist. Pauschale Aussagen wie wesentlich oder nicht wesentlich genügen nicht.

Die EFRAG-Implementierungsleitlinien empfehlen, mindestens 30 bis 50 Stakeholder zu befragen und mindestens fünf interne Funktionen einzubinden: Finanzen, Einkauf, HR, Operations, Recht. Die Ergebnisse fliessen in eine Heatmap, die zur Anlage des Lageberichts wird.

Wesentlichkeit ist kein Einmalakt: ESRS 1.34 verlangt die Aktualisierung mindestens alle drei Jahre, bei Strukturbruch jährlich. Wer ein Unternehmen zukauft, ein Werk schliesst oder in ein neues Land expandiert, muss die Analyse anpassen und neu dokumentieren.

Audit-fest, dokumentiert, § 289c-fest: Genau diese Belegbarkeit der Wesentlichkeitsanalyse ist die häufigste Findung bei Prüfungen 2025. Ohne sauberen Stakeholder-Dialog und Bewertungsmatrix wird der Bericht zurückgewiesen, oft erst Wochen vor dem geplanten Veröffentlichungstermin.

Ein ESG-Thema ohne klare Rolle bleibt Theorie. Die ESRS schreiben zwar keine Rollenbezeichnung vor, fordern aber in ESRS 2 GOV-1 die Offenlegung der Governance-Struktur: Wer ist verantwortlich, wem wird berichtet, welche Kompetenz liegt im Aufsichts- oder Verwaltungsrat, wie oft tagt das ESG-Komitee?

In der Praxis kristallisiert sich die Rolle des ESG- oder Nachhaltigkeitsbeauftragten heraus, häufig auf Director- oder Bereichsleitungsebene angesiedelt. Eine Bestellurkunde nach Vorbild des § 7 BImSchG oder § 4f BDSG ist nicht gesetzlich gefordert, aber prüfungsdienlich und schafft eine eindeutige Verantwortungslinie.

Die Berichtslinie ist heikel: Wer an die Nachhaltigkeitsabteilung des Marketings angedockt ist, hat ein Glaubwürdigkeitsproblem. Best Practice ist eine direkte Linie zum Vorstand oder zur Geschäftsführung, mit Eskalationsrecht an den Prüfungsausschuss des Aufsichtsrats, analog zum DSB.

Bestellurkunde, unterschrieben, abgelegt, belegbar: Der ESG-Beauftragte braucht ein dokumentiertes Mandat mit definierten Aufgaben (Datenerhebung, Wesentlichkeit, Berichtserstellung, Steuerung der Auditbegleitung), Ressourcen (Budget, Datenzugriff, externe Beratung) und Eskalationsrechten. Ohne dieses Mandat ist die Rolle ein Papiertiger.

Für mittelständische Unternehmen ohne eigene Nachhaltigkeitsabteilung lohnt sich das duale Modell: Lizenzieren Sie den Workspace für Ihre internen Beauftragten oder lassen Sie unsere Beauftragten bestellen. Im zweiten Fall stellt CIVAC einen externen ESG-Beauftragten mit Bestellurkunde, Berichtslinie und SLA-Reaktionszeit von zwei Werktagen.

Wichtig: Die Rolle ist nicht delegierbar in dem Sinne, dass der Vorstand seine Letztverantwortung abgibt. § 91 Abs. 2 AktG und § 43 GmbHG bleiben unberührt. Der ESG-Beauftragte ist Vorbereiter und Steuerer, nicht Entscheider, vergleichbar mit dem Verhältnis von DSB und Geschäftsführung.

1.144 Datenpunkte ohne Datenmodell sind 1.144 Excel-Inseln. Die häufigste Findung in der Erstprüfung 2025 lautet: fehlende Datenqualität, fehlende Datenherkunft, fehlende Abstimmung mit der Finanzbuchhaltung. Genau hier scheitern viele Unternehmen, obwohl die Inhalte vorhanden wären.

Ein belastbares Datenmodell trennt drei Schichten: Quellsysteme (ERP, HR, Energiemanagement, Lieferantenportal), eine Konsolidierungsschicht mit dokumentierten Transformationen und ein Reporting-Layer mit dem fertigen ESRS-Datapoint. Jede Transformation muss mit einem Vier-Augen-Prinzip versehen sein.

Die ESRS verlangen in ESRS 2 BP-2 die Offenlegung der Datenherkunft, der Berechnungsmethode und der Annahmen. Wer Scope-3-Emissionen mit dem Spend-Based-Ansatz schätzt, muss das offenlegen und Roadmap zur Activity-Based-Methode dokumentieren. Schätzungen sind erlaubt, aber transparent.

Audit-Vorlagen schliessen die Lücke zwischen Datenpunkt und Belegbarkeit. CIVAC stellt 490 Audit-Vorlagen bereit, die für ESG-Themen relevante Standardprüfschritte abbilden: Wesentlichkeitsanalyse, Stakeholder-Dialog, Datenherkunft, interne Kontrollen, Konsolidierungsregeln, Plausibilitätsabgleich mit dem Finanzabschluss.

Der Prüfer ruft an, der Nachweis liegt bereit: Mit jeder Datapoint-Antwort verknüpft, mit Versionierung, Zeitstempel und Verantwortlichem. Das spart in der heissen Auditphase regelmässig 30 bis 50 Prozent der Rückfragezeit, weil keine Mailketten und PDF-Suchen notwendig werden.

Die Lieferanten-Auditor-Rolle ergänzt das Bild bei ESRS S2 und der Lieferketten-Pflicht: Sie übernimmt die operative Bewertung der upstream-Risiken nach LkSG und ESRS und produziert die Auditberichte, die in den Nachhaltigkeitsbericht einfliessen, ohne ein eigenes Tool-Silo zu schaffen.

ESG steht selten allein. LkSG verlangt seit 2024 für Unternehmen ab 1.000 Mitarbeitenden eine Risikoanalyse der Lieferkette, einen jährlichen Bericht an das BAFA und ein Beschwerdesystem. Inhaltlich überlappt das zu 70 bis 80 Prozent mit ESRS S2, der Bericht ist aber separat einzureichen.

Die EU-Taxonomie verlangt drei Kennzahlen für taxonomiefähige und taxonomiekonforme Aktivitäten: Umsatzanteil, CapEx-Anteil, OpEx-Anteil. Diese Kennzahlen sind Teil des Nachhaltigkeitsberichts nach CSRD, müssen aber technisch nach den Anhängen der Verordnung (EU) 2020/852 ermittelt werden.

Die CSDDD (Richtlinie (EU) 2024/1760) tritt 2027 in Stufen in Kraft und erweitert die Sorgfaltspflichten gegenüber LkSG auf die gesamte Wertschöpfungskette, inklusive downstream. Sie schafft zudem eine zivilrechtliche Haftung der Muttergesellschaft, was die Risikolage materiell verändert.

Hinzu kommen sektorspezifische Pflichten: SFDR für Finanzdienstleister, CBAM für Importeure energieintensiver Güter, EUDR für Importeure von Soja, Rindfleisch, Holz und weiteren Rohstoffen. Diese Verordnungen produzieren eigene Berichts- und Nachweispflichten, die in das ESG-Datenmodell zu integrieren sind.

Die Praxis zeigt: Wer ESG-, LkSG-, Taxonomie- und CSDDD-Pflichten in separaten Projekten organisiert, baut Doppelstrukturen mit identischen Daten. Eine integrierte Compliance-Plattform und Officer-as-a-Service verhindert genau das, indem alle Pflichtenkreise auf das gleiche Datenmodell und die gleichen Belegketten zugreifen.

Diese Integration ist kein optionales Add-on: Die EFRAG hat in ihren Q&A 2025 mehrfach klargestellt, dass Konsistenz zwischen LkSG-Bericht, ESRS-Angaben und Taxonomie-Quoten geprüft wird. Inkonsistenzen führen regelmässig zu eingeschränktem Bestätigungsvermerk und damit zu öffentlicher Reputationsfolge.

Die CSRD-Fristen sind gestaffelt: Erste Welle für PIE über 500 Mitarbeitende seit Geschäftsjahr 2024 (Bericht 2025), zweite Welle für grosse Unternehmen ab 250 Mitarbeitende seit Geschäftsjahr 2025 (Bericht 2026), dritte Welle für börsennotierte KMU ab Geschäftsjahr 2026 (Bericht 2027) mit Opt-out-Option bis 2028.

Die Omnibus-Initiative der EU-Kommission vom 26. Februar 2025 hat Verschiebungen angekündigt, aber bis zur formalen Verabschiedung gilt der ursprüngliche Zeitplan. Wer den Vorlauf nutzt, hat 12 bis 18 Monate für Datenmodell, Wesentlichkeitsanalyse und Aufbau der Belegketten, das ist knapp.

Die typische Projektplanung gliedert sich in vier Phasen: Phase 1 Gap-Analyse und Wesentlichkeit (Monate 1 bis 3), Phase 2 Datenmodell und Quellsystemanbindung (Monate 4 bis 8), Phase 3 Erstbefüllung und interne Validierung (Monate 9 bis 12), Phase 4 Prüfungsbegleitung (Monate 13 bis 18).

Frist läuft ab Kenntnis der Pflicht. Wer 2026 erstmals unter die Schwellen fällt, sollte spätestens zum Bilanzstichtag 31. Dezember 2025 die Datenerhebung gestartet haben, andernfalls fehlen Vorjahresvergleichswerte, die ESRS 2 BP-1 verlangt. Das nachträgliche Konstruieren von Vergleichswerten ist prüferisch heikel.

Eskalationsstufen sind in der Bestellurkunde des ESG-Beauftragten zu fixieren: Reporting an die Geschäftsführung quartalsweise, Eskalation bei Datenlücken über 5 Prozent ad hoc, Eskalation bei drohender Fristverletzung sofort an den Aufsichtsrat. Diese Stufen sind im Workspace technisch hinterlegbar.

Wer den Zeitplan nicht hält, riskiert nach § 334 HGB Ordnungsgelder bis 250.000 Euro und nach § 335b HGB die öffentliche Bekanntmachung des Pflichtverstosses im Bundesanzeiger. Bei kapitalmarktorientierten Unternehmen kommt das BaFin-Risiko nach Wertpapierhandelsgesetz hinzu.

Die Kosten für ein ESG-Erstprojekt liegen nach Erhebungen des DRSC 2025 zwischen 300.000 Euro für den mittleren Mittelstand und mehreren Millionen für Konzerne, abhängig von Komplexität der Wertschöpfungskette und Reifegrad der vorhandenen Datenlandschaft. Etwa 60 Prozent der Kosten entfallen auf interne Personalkapazität.

Die laufenden Kosten für Datenpflege, Berichtserstellung und Prüfungsbegleitung schätzt das IDW auf 150.000 bis 600.000 Euro pro Jahr. Hinzu kommt die Wirtschaftsprüfer-Testierung mit 80.000 bis 300.000 Euro, abhängig von Konzernstruktur und Standorten. Diese Beträge sind im Budget vorab abzubilden.

Die Build-Variante (eigene ESG-Abteilung, eigene Tools, eigene Beratung) lohnt sich ab etwa 1 Mrd. Euro Umsatz oder bei besonders komplexen Wertschöpfungsketten. Unterhalb dieser Schwelle dominiert die Buy-Variante, weil die Fixkostendegression einer eigenen Abteilung nicht aufgeht.

Das duale CIVAC-Modell trennt sauber: Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Variante eins kostet einen Bruchteil der Build-Variante, weil 490 Audit-Vorlagen, ISO 27001:2022 ISMS und EU-Datenresidenz bereits enthalten sind und nicht aufgebaut werden müssen.

Variante zwei eignet sich für den klassischen Mittelstand ohne Nachhaltigkeitsabteilung: Externe ESG-Beauftragte werden mit Bestellurkunde eingesetzt, der SLA beträgt zwei Werktage statt der branchenüblichen zwei bis sechs Wochen klassischer Kanzleibetreuung. Die operative Verantwortung wandert in eine spezialisierte Rolle.

Andere führen Compliance wie einen Aktenschrank. Wir führen sie wie Software. Genau dieser Unterschied bestimmt, ob ESG am Bilanzstichtag berichtsfähig und prüfungsfest ist oder ob das Projekt in der zweiten Verschiebungsschleife landet, was bei rund einem Drittel der erstprüfenden Unternehmen 2025 der Fall war.

Der Weg vom ESG-Thema zur belegbaren Compliance führt über vier Bausteine: eine dokumentierte Wesentlichkeitsanalyse, ein integriertes Datenmodell für ESRS, LkSG und Taxonomie, eine eindeutige Rolle mit Bestellurkunde und Berichtslinie, und eine Audit-Spur, die in der Prüfung in Minuten statt Wochen nachweisbar ist.

CIVAC adressiert genau diese Bausteine als Compliance-Plattform und Officer-as-a-Service. Der Workspace enthält 490 Audit-Vorlagen, 93 ISO-27001:2022-Controls für die IT-Seite, eine EU-Datenresidenz und eine NIS-2-fähige 24/72-Meldepfad-Logik, die auch für ESG-Datenpannen genutzt wird.

Lizenzieren Sie den Workspace für Ihre internen Beauftragten, oder lassen Sie unsere Beauftragten bestellen. Im ersten Fall erhält Ihr ESG-Beauftragter eine vorkonfigurierte Umgebung. Im zweiten Fall übernimmt ein externer Beauftragter mit Bestellurkunde, SLA von zwei Werktagen und direkter Berichtslinie an Ihre Geschäftsführung.

Die typischen Einstiegsfragen lauten: Welche Welle, welche Schwellen, welche Tochtergesellschaften, welches Berichtsgeschäftsjahr, welche Vorjahresdaten existieren? Diese Fragen klären wir in einem strukturierten Erstgespräch von 45 Minuten, das mit einer schriftlichen Einordnung Ihrer Pflichtenlage endet.

Wer 2026 unter die CSRD-Schwelle fällt und noch kein Datenmodell hat, sollte spätestens im ersten Quartal entscheiden. Jede weitere Verzögerung verkürzt den Aufbau-Vorlauf, der mindestens zwölf Monate vor dem Bilanzstichtag liegen muss, andernfalls ist die Erstbefüllung der ESRS-Datapoints nicht testierungsfähig.

Aus dem Lesen einen Auftrag machen. Schreiben Sie an info@civac.de oder nutzen Sie das Kontaktformular auf civac.de für ein strukturiertes Erstgespräch zu Ihrer ESG-Pflichtenlage, Rollenstruktur und der Frage Workspace-Lizenz oder externer Beauftragter.