De ICT-sector denkt zelden als eerste aan zichzelf wanneer het over duurzaamheidsregels gaat. Software, hosting, clouddiensten en IT-dienstverlening voelen aan als een sector zonder schoorsteen. Dat beeld is misleidend. De rekenkracht achter data, de keten van apparatuur en de afhankelijkheid van energie en zeldzame grondstoffen maken dat ICT-bedrijven op meerdere fronten tegelijk in beeld komen: als energiegebruiker, als inkoper in een lange en vaak ondoorzichtige toeleveringsketen, en steeds vaker als leverancier aan andere sectoren die zelf aan strengere regels moeten voldoen. Wie voor een grote klant in de financiële sector of de bouw werkt, krijgt de vraag naar duurzaamheidsdata via die klant terug, ook zonder dat de eigen onderneming daar rechtstreeks onder valt.
De vraag "onder welke ESG-regels valt de ICT-sector" heeft geen vast antwoord, omdat geen enkele regel specifiek voor ICT is geschreven. De verplichtingen die gelden, volgen uit een combinatie van factoren: de omvang van de onderneming, of er sprake is van een beursnotering, de mate waarin gewerkt wordt met persoonsgegevens of kritieke infrastructuur, en de positie in de keten van klanten die zelf rapportageplichten hebben. Een softwarebedrijf met een handvol medewerkers valt onder een ander regime dan een clouddienstverlener die kritieke diensten levert aan de financiële sector. Het is dezelfde onduidelijkheid die terugkomt bij de vraag welke ESG-regels gelden voor financiële dienstverlening: de sectornaam bepaalt niet het regime, de kenmerken van de onderneming wel.
Europese regelgeving vormt de basis, maar de manier waarop lidstaten die regelgeving omzetten in nationaal recht verschilt. Definities van omvang, de reikwijdte van rapportageplichten en de termijnen waarbinnen aan verplichtingen moet worden voldaan, worden per land anders ingevuld. Voor een ICT-bedrijf dat in meerdere landen actief is, of dat via een moederbedrijf in een ander land valt onder een groepsrapportage, betekent dit dat de Europese regel zelf niet volstaat als antwoord. De nationale uitwerking moet er telkens naast gelegd worden. Diezelfde nationale kop speelt een rol bij de ESG-verplichtingen in de energiesector en bij de regels die voor de vastgoedsector gelden: telkens is de Europese tekst het startpunt, nooit het eindpunt.
Onderwerpen die vaak terugkomen zijn energieverbruik van datacenters en rekencentra, de herkomst en levensduur van hardware, de arbeidsomstandigheden in de toeleveringsketen van apparatuur, en de vraag of gegevens over duurzaamheid geleverd moeten worden aan klanten die zelf rapportageplichtig zijn. Of een specifieke verplichting van toepassing is, hangt af van de precieze omvang van de onderneming, de sector waarin geleverd wordt en het land van vestiging. De actuele tekst van de relevante regelgeving, met de bijbehorende drempels en termijnen, is te vinden bij de wetgever of toezichthouder die daarvoor verantwoordelijk is; die tekst verandert, en een landingspagina is niet de plek om drempels te bevriezen die morgen kunnen wijzigen.
Voor ICT-bedrijven is de ketenpositie vaak bepalender dan de eigen omvang. Een leverancier van softwareoplossingen aan de bouwsector krijgt vragen over materiaalgebruik en emissies doorgespeeld die oorspronkelijk bij de verplichtingen van de bouwsector horen. Datzelfde mechanisme geldt richting energiebedrijven, vastgoedpartijen en financiële instellingen. Wie niet weet welke informatie een klant nodig heeft om aan de eigen verplichtingen te voldoen, wordt daar vaak pas op een laat moment mee geconfronteerd. Dat is een van de patronen die beschreven staat bij de manieren waarop bedrijven verrast worden door wetgeving: niet de eigen sector, maar de sector van de klant bepaalt soms wat er gevraagd wordt.
Weten onder welke regels een onderneming valt, is een eerste stap. De vervolgvraag is of een bestuur kan aantonen dat het die verplichtingen kent, heeft toegewezen aan een eigenaar en heeft voorzien van bewijs. Dat onderscheid tussen kennis en aantoonbaarheid staat centraal in de beschrijving van hoe een bestuur in control aantoont te zijn: een lijst met verplichtingen zonder eigenaar en zonder bewijs biedt in de praktijk weinig houvast bij een controle of audit.
De Compliance Check die voor csrdcompliance.net in ontwikkeling is, brengt deze verplichtingen samen in een overzicht per onderneming: welke regel van toepassing is, wie binnen de organisatie daarvoor verantwoordelijk is, welk bewijs nodig is en welke control daarbij hoort. De tool is nog in aanbouw. Wie hier gebruik van wil maken zodra deze beschikbaar is, kan zich aanmelden voor de wachtlijst.
Zodra duidelijk is welke verplichtingen gelden en wie daarvoor verantwoordelijk is, volgt vanzelf de vraag hoeveel tijd de uitvoering daarvan kost en welk deel daarvan is te automatiseren. Het verzamelen van bewijs, het bijhouden van dossiers en het herhalen van controles zijn taken die zich goed laten uitsplitsen. De werkscan van FTE TO AI rekent per taak uit welk deel van dat werk door AI is over te nemen, zodat een bestuur niet alleen weet wat er moet gebeuren, maar ook een reëel beeld krijgt van wat daarvan structureel tijd blijft kosten en wat niet.
Vraag maar welke verplichting op u van toepassing is, en waaraan u dat kunt aantonen.
Antwoorden komen uit de kennisbank van deze site. Geen advies op maat, en geen scan van uw bedrijf.