Raportowanie CSRD w firmie - obowiązki, dane i atestacja

Raportowanie zrównoważonego rozwoju przestało być dodatkiem do sprawozdania z działalności. Dla wielu spółek oznacza dziś obowiązek uporządkowania danych o środowisku, pracownikach, prawach człowieka i ładzie korporacyjnym, a także pokazania, jak te obszary wpływają na samą firmę. W 2026 roku wdrażanie dyrektywy CSRD w Polsce jest jeszcze w ruchu, więc trzeba patrzeć jednocześnie na obecne obowiązki i na kolejne zmiany w prawie.

Co w praktyce zmienia ta dyrektywa dla firm

Ja patrzę na to przede wszystkim jak na zmianę procesu, a nie samego formularza. Nowe przepisy nie sprowadzają się do napisania ładnego opisu o odpowiedzialności społecznej, tylko do przygotowania porównywalnych, spójnych i możliwych do zweryfikowania danych. Raport ma pokazać nie tylko to, co firma robi, ale też jakie skutki wywołuje jej działalność i jak te skutki przekładają się na ryzyko finansowe, operacyjne i reputacyjne.

W praktyce oznacza to trzy rzeczy. Po pierwsze, raportowanie wchodzi do obiegu zarządczego i nie da się go zamknąć w dziale komunikacji. Po drugie, firma musi mieć metodologię, a nie zbiór przypadkowych wskaźników. Po trzecie, dane muszą dać się obronić przed audytorem, inwestorem, bankiem albo klientem korporacyjnym. To już nie jest miękki dokument wizerunkowy, tylko element ładu korporacyjnego.

Jak podaje Komisja Europejska, celem jest ułatwienie oceny ryzyk i szans wynikających z kwestii społecznych i środowiskowych. Dla biznesu to ważne, bo z czasem raport przestaje być „dodatkiem”, a staje się źródłem danych do decyzji kredytowych, zakupowych i inwestycyjnych. Z tego właśnie powodu warto najpierw zrozumieć, kogo obecnie obejmują obowiązki w Polsce.

Kogo obowiązują raporty w Polsce w 2026 roku

Sytuacja jest przejściowa, bo zakres CSRD został w 2026 roku na poziomie UE zawężony, ale krajowe przepisy wciąż muszą to odzwierciedlić. Ministerstwo Finansów informuje, że w Polsce obowiązki wdrażano etapami, a kolejne zmiany są nadal dopracowywane. Dlatego przy ocenie obowiązku nie wystarczy sprawdzić tylko przychodów. Trzeba jeszcze uwzględnić status jednostki zainteresowania publicznego, strukturę grupy i to, czy spółka jest notowana na rynku regulowanym.

Na poziomie UE zakres dyrektywy został dodatkowo zawężony do firm zatrudniających średnio ponad 1000 osób i osiągających ponad 450 mln euro rocznego obrotu netto, ale w Polsce pełne dostosowanie krajowych przepisów nadal jest w toku. To oznacza, że część firm, która jeszcze niedawno zakładała obowiązek raportowania, może finalnie wypaść z zakresu. Dopóki nie ma pełnej pewności, warto sprawdzać status nie tylko „na oko”, ale na podstawie formalnych kryteriów. To prowadzi do następnego pytania: jakie dane właściwie trzeba zebrać.

Jakie dane trzeba zebrać i jak czytać ESRS

Podstawą są Europejskie Standardy Sprawozdawczości Zrównoważonego Rozwoju, czyli ESRS. To właśnie one porządkują, jakie informacje firma ma ujawnić, w jakim układzie i z jakim poziomem szczegółowości. Ja najczęściej tłumaczę to tak: nie wystarczy powiedzieć, że spółka ma strategię ESG. Trzeba jeszcze pokazać, jakie ma cele, jak je mierzy, kto za nie odpowiada i jakie dane stoją za deklaracjami.

Ważna jest też podwójna istotność, czyli podejście, w którym firma ocenia dwa kierunki wpływu: jak kwestie zrównoważonego rozwoju oddziałują na jej wyniki oraz jak sama firma oddziałuje na ludzi i środowisko. To nie jest detal dla specjalistów, tylko fundament całego raportu. Jeśli spółka źle oceni istotność, później źle dobierze tematy, a raport zacznie się rozjeżdżać z rzeczywistością.

W praktyce trzeba myśleć także o łańcuchu wartości, czyli o wpływach poza samą spółką, między innymi u dostawców i podwykonawców. Dla wielu firm to właśnie ten element jest najtrudniejszy, bo wymaga pytań do kontrahentów, nie tylko do własnych działów. Im wcześniej firma to zrozumie, tym mniej nerwów będzie przy pierwszym pełnym cyklu raportowym.

Jak przygotować firmę do raportowania bez chaosu

Ja zaczynam od prostego pytania: czy dane już są w firmie, czy trzeba je dopiero zbudować? To rozróżnienie oszczędza najwięcej czasu. Jeśli spółka ma rozproszone pliki, różne definicje wskaźników i brak właścicieli danych, to nie jest jeszcze problem raportowy, tylko problem organizacyjny. I właśnie od organizacji trzeba zacząć.

1. Potwierdź zakres obowiązku - sprawdź, czy spółka wchodzi do grupy raportującej teraz, czy dopiero w kolejnej fali.
2. Wyznacz właściciela procesu - jedna osoba lub mały zespół musi spinać finanse, HR, zakupy, compliance i operacje.
3. Zrób mapę danych - wypisz, skąd pochodzą wskaźniki, kto je liczy i co jest dowodem źródłowym.
4. Przeprowadź ocenę istotności - wybierz tematy, które realnie mają znaczenie dla modelu biznesowego i interesariuszy.
5. Ustal metodologie - te same definicje i te same progi muszą działać przez cały rok, nie tylko na końcu procesu.
6. Przetestuj jeden pełny cykl - lepiej wykryć błędy w próbnym zamknięciu niż przy finalnym raporcie.

W małej lub średniej organizacji sensowny start to zwykle minimum 3-4 miesiące na diagnozę i uporządkowanie danych. W większej grupie, zwłaszcza z wieloma spółkami zależnymi, rozsądniej planować 6-12 miesięcy, a czasem dłużej. Nie dlatego, że sam raport jest skomplikowany, tylko dlatego, że dane zwykle są rozrzucone po różnych systemach i działach. To naturalnie prowadzi do pytania o koszt i atestację.

Atestacja i koszty, które warto wpisać do budżetu

Nowe sprawozdanie nie kończy się na zebraniu danych. Musi jeszcze przejść atestację, czyli niezależną ocenę przez biegłego rewidenta lub firmę audytorską. To nie jest dokładnie to samo co pełne badanie sprawozdania finansowego. Na tym etapie chodzi przede wszystkim o wiarygodność danych, spójność metod i możliwość ich obrony dowodami.

Największy błąd polega na tym, że firmy wpisują do budżetu tylko wynagrodzenie audytora. W praktyce koszt tworzą też inne elementy:

• porządkowanie danych i procesów wewnętrznych,
• czas ludzi z finansów, HR, zakupów i compliance,
• wsparcie doradcze przy metodologii i ocenie istotności,
• integracja albo dostosowanie systemów raportowych,
• przegląd prawny i przygotowanie dowodów źródłowych.

Im później firma zaczyna przygotowania, tym droższa zwykle staje się atestacja, bo audytor musi nadrabiać braki większą liczbą pytań i testów. Najwięcej oszczędza nie sam „tani raport”, tylko jedna spójna metodologia i jeden porządny obieg danych. Gdy to działa, proces jest mniej nerwowy, a rozmowa z audytorem prostsza. Następny krok to unikanie błędów, które najczęściej psują cały projekt.

Najczęstsze błędy, przez które raport robi się zbyt późno

• Traktowanie raportu jak broszury marketingowej - ładny język nie zastępuje liczb, źródeł i metod.
• Brak jednego właściciela procesu - jeśli każdy dział odpowiada za „swoją część”, w praktyce nikt nie pilnuje całości.
• Zbieranie danych dopiero na końcu roku - wtedy wychodzą braki, których nie da się szybko naprawić.
• Kopiowanie rozwiązań od innej spółki - to, co działa u konkurenta, nie musi pasować do twojej struktury i modelu biznesowego.
• Pominięcie łańcucha dostaw - w wielu branżach właśnie tam leżą najważniejsze ryzyka i największa część odpowiedzialności.
• Brak dowodów źródłowych - bez nich nawet poprawny wskaźnik może nie przejść weryfikacji.
• Czekanie na „ostateczny” kształt prawa - przygotowanie procesu nie wymaga idealnej stabilności, a zwłoka zwykle tylko podnosi koszty.

W praktyce właśnie te błędy najbardziej opóźniają raportowanie, bo uderzają w samo centrum organizacji: dane, odpowiedzialność i kontrolę. Jeśli firma je ograniczy, kolejne etapy stają się dużo prostsze. Z tego powodu ostatni krok warto zrobić nawet wtedy, gdy obowiązek formalnie jeszcze nie dotyczy spółki.

Na co przygotować także firmy poza obowiązkiem raportowym

Jeżeli firma nie raportuje jeszcze obowiązkowo, nie znaczy to, że może całkiem odpuścić temat. Duzi kontrahenci, banki i inwestorzy bardzo często pytają o dane z tego obszaru wcześniej niż ustawodawca wymaga raportu. W praktyce oznacza to, że nawet mniejsza spółka powinna mieć gotowy prosty pakiet informacji, który da się przekazać szybko i bez wielkiego chaosu.

• podstawowe dane o zatrudnieniu i strukturze zespołu,
• zużycie energii i najprostsze wskaźniki środowiskowe,
• informacje o BHP, szkoleniach i politykach pracowniczych,
• krótki opis etyki, compliance i kanałów zgłaszania nieprawidłowości,
• zestawienie najważniejszych dostawców i ryzyk w łańcuchu wartości,
• listę osób odpowiedzialnych za zbieranie i zatwierdzanie danych.

Dla mniejszych podmiotów praktycznym punktem odniesienia są też uproszczone, dobrowolne standardy dla MŚP, bo pomagają uporządkować komunikację z rynkiem bez budowania rozbudowanego systemu od zera. To szczególnie ważne w 2026 roku, kiedy duże firmy nadal będą przerzucać wymagania na swoich dostawców. Jeśli więc ktoś chce przygotować się rozsądnie, powinien zacząć nie od samego raportu, tylko od danych, odpowiedzialności i jednej spójnej metodologii. To właśnie daje największą przewagę, gdy obowiązek stanie się już realny.