Registro de auditoría y linaje de datos de sostenibilidad: guía práctica

Haz la prueba con una cifra cualquiera de tu último informe ESG. Las toneladas de CO₂ del alcance 2, por ejemplo. ¿Podrías decir hoy de qué facturas sale, qué factor se aplicó, quién la corrigió en marzo y por qué, y quién dio el visto bueno a la versión que se publicó? Si la respuesta es "tendría que preguntar a quien lo preparó", tienes un problema de linaje. La cifra puede ser correcta y, aun así, no poder defenderla.

Eso es lo que resuelve un registro de auditoría y linaje de datos de sostenibilidad: documentar el recorrido de cada dato, de la evidencia al informe, con sus cálculos, sus cambios y las personas que los validaron. No es un concepto nuevo en finanzas; en sostenibilidad casi nadie lo tiene montado.

El momento en que duele suele ser el mismo: la verificación externa. Los cálculos están en hojas de Excel que han pasado por cuatro manos, las evidencias en una carpeta compartida con nombres como "factura_luz_def_v3_FINAL", y la explicación de cada cifra vive en la cabeza de quien la preparó, que a veces ya no está. En esta guía te cuento cómo reconstruir ese recorrido, qué hay que registrar y cómo hacerlo sin que cada marco de reporting se convierta en una nueva ronda de recopilación.

 

Qué demuestra cada cosa: linaje, audit trail y verificación

Conviene separar tres ideas que se mezclan en casi todas las conversaciones.

El linaje responde a una pregunta: ¿por dónde ha pasado este dato? Describe el recorrido desde la fuente (una factura, una lectura de contador, un extracto del ERP) hasta el indicador que aparece en el informe, con las transformaciones que ha sufrido por el camino: conversiones de unidad, factores de emisión, exclusiones, agregaciones.

El audit trail, o registro de auditoría, responde a otra: ¿qué acciones y decisiones se han tomado durante ese recorrido? Quién creó el dato, quién lo revisó, qué evidencia consultó, qué cambió y por qué.

Un ejemplo de los que vemos a menudo. Una filial comunica 120 toneladas de emisiones. Al revisar la factura de electricidad, alguien se da cuenta de que había un mes duplicado y corrige el dato a 118. El linaje muestra la factura, el factor aplicado y cómo esas 118 toneladas entran en el consolidado del grupo. El audit trail guarda la cifra inicial, la corrección, la fecha, quién la hizo y el motivo. Con las dos cosas, quien revise el informe sabe que esa corrección es trazable y no un cambio sin explicación.

Y la tercera idea, que hay que decir con claridad: tener linaje y audit trail no demuestra que la cifra sea correcta. Demuestra cómo se obtuvo. Que la factura corresponda al centro y al periodo adecuados, o que el método elegido sea el pertinente, lo decide la verificación externa, que tiene su propio alcance y su propio criterio. La trazabilidad prepara esa revisión; no la sustituye.

Lo que sí hace el linaje es dar contexto a la cifra: fuente primaria, periodo, unidad, perímetro y entidad. Una cantidad de energía sin periodo, sin unidad y sin saber qué centros incluye no se puede comparar ni consolidar. Sumar kilovatios hora con megavatios hora sin convertir antes es un error más frecuente de lo que parece, y lo normal es descubrirlo cuando ya está en el informe.

 

Cómo reconstruir el linaje de un dato hasta el informe

Para seguir una cifra ESG hasta el informe hay que reconstruir su recorrido completo: fuente, captura, transformación, consolidación, indicador y destino de reporte. Cada etapa debe conservar el vínculo con la anterior. Si solo guardas el resultado final, pierdes justo lo que necesitarás explicar.

Lo primero es distinguir dos tipos de información que no deberían mezclarse. Un dato extraído de un sistema fuente (el consumo registrado en el ERP, la plantilla que sale de recursos humanos) tiene un origen identificable. Una estimación o un cálculo interno depende además de supuestos, fórmulas y criterios que alguien eligió y que hay que dejar escritos. Si en tu registro no se distingue una cosa de la otra, el verificador lo hará por ti, y no de la manera que te gustaría.

Para cada cifra necesitas como mínimo siete cosas: fuente, entidad, periodo, unidad, responsable, transformación aplicada y destino de reporte. No es burocracia; es lo que permite localizar dónde se produjo una diferencia cuando dos números que deberían coincidir no coinciden.

De la fuente al dato consolidado

El recorrido tiene cinco paradas, y en cada una hay algo concreto que registrar.

En la fuente, el sistema, documento o tercero que aporta la información, y quién responde por ella. En la captura, cómo se incorpora, quién la facilita y a qué entidad y periodo corresponde. En la transformación, las conversiones, fórmulas, factores y ajustes aplicados, con la procedencia de cada factor. En la consolidación, los criterios con los que se combinan centros o sociedades. Y en el indicador, el vínculo entre el resultado, la métrica interna y la divulgación donde se usa.

El detalle que más se olvida: conservar la referencia al documento fuente durante todo el procesamiento. Si la factura vive en una carpeta y el cálculo en otra hoja, el vínculo existe solo mientras alguien lo recuerde.

De la cifra consolidada al marco de reporte

Documenta la fórmula y los factores de cada indicador, y los criterios que determinan su alcance. Después, vincula la métrica interna con el requisito concreto del marco. Una misma cifra puede alimentar varios marcos, pero cada divulgación puede pedir otro perímetro, otro nivel de detalle u otra explicación. Lo que hay que evitar es crear versiones paralelas del mismo dato sin dejar escrito en qué se diferencian; es la forma más rápida de acabar con tres cifras distintas para la misma cosa en tres informes.

 

Qué debe registrar un audit trail ESG

Un historial útil permite explicar qué pasó con cada cifra, no solo mostrar su valor actual. Eso significa registrar cinco tipos de evento: creación, revisión, aprobación, corrección y sustitución. Y para cada uno, la fecha, la persona, la acción, el motivo y la evidencia relacionada.

Una regla que no admite excepciones: si alguien corrige un dato, el valor anterior sigue disponible. Borrarlo impide entender el cambio y reconstruir qué versión se usó en cada momento.

En la práctica, el registro de un indicador se parece a esto. La creación guarda el valor inicial, la fecha, el responsable y la fuente. La revisión, las observaciones, el resultado de la comprobación y la evidencia consultada. La aprobación, la versión aprobada, el rol que la autoriza y la fecha. La corrección, el valor anterior y el nuevo, el motivo, quién lo cambió y el justificante. La sustitución, la versión que deja de usarse, la que la reemplaza y la razón.

Hay una distinción que merece la pena hacer siempre: no es lo mismo corregir un error de origen que cambiar el método. Si al revisar un justificante se detecta un error de transcripción en un consumo, se registra el valor original, el corregido y el documento que lo explica. Si el equipo cambia la forma de calcular el indicador, se conserva la metodología anterior y se señala desde qué versión se aplica la nueva. Presentar las dos cosas como "una actualización" confunde a quien lee la serie histórica, porque en un caso cambió el dato y en el otro cambió la regla.

Evidencias y límites

Las evidencias se vinculan a la métrica concreta, no se guardan en una carpeta común a ver si alguien las encuentra. Facturas, lecturas de contador, extractos de sistemas, respuestas de proveedores, hojas de cálculo, notas que expliquen una estimación: cada archivo con su periodo, su entidad y la versión del cálculo a la que corresponde.

Y cuando falta algo, se dice. Si no hay documento, si se usó una estimación, si el resultado depende de un supuesto, déjalo señalado en el registro. Ocultar una laguna no la hace desaparecer; solo garantiza que la encuentre el verificador en lugar de ti. Explicitarla permite valorar su efecto y decidir si hace falta una aclaración.

 

Cómo implantar controles de linaje sin recopilar dos veces

El control se vuelve insoportable cuando cada marco tiene su propia hoja, sus propios responsables y su propia ronda de peticiones a las filiales. Lo hemos visto en empresas que responden a CSRD, a un cuestionario de un cliente y a otro de un banco con tres recopilaciones distintas del mismo consumo eléctrico. La solución no es más control: es una fuente común por indicador y reglas claras de reutilización.

Tampoco hace falta aplicar el mismo nivel de revisión a todo. Prioriza los indicadores materiales y los que dependen de proveedores, de estimaciones o de cálculos con supuestos. El resto puede ir con controles más ligeros.

Alcance, responsables y reglas

Empieza por un inventario: qué indicadores, qué entidades cubren, qué periodos, qué marcos. Para cada familia de datos, quién aporta, quién revisa y quién aprueba. Y unas reglas escritas para unidades, estimaciones, cambios de método y conservación de documentos, para que cada equipo sepa qué entregar y con qué controles.

A partir de ahí, el flujo tiene cinco pasos. Priorizar los indicadores materiales o con fuentes externas. Asignar propietarios y validadores con responsabilidades delimitadas. Normalizar periodos, unidades, perímetros y tratamiento de correcciones. Reutilizar el dato validado como referencia común para todas las divulgaciones que lo usen, documentando la adaptación de cada marco en lugar de volver a pedir el dato. Y revisar las excepciones antes del cierre.

Conviene separar lo que una regla puede comprobar sola de lo que exige criterio. Un campo vacío, una unidad no admitida, un duplicado o una variación por encima del umbral que haya fijado la organización se detectan automáticamente. Decidir si una estimación representa bien una actividad, o si un cambio de método está justificado, es una valoración que alguien tiene que hacer y dejar documentada. Una alerta automática señala; no decide.

Excepciones antes del cierre

Define qué pasa cuando falta un dato, cuando aparecen dos registros para el mismo periodo o cuando una cifra no tiene respaldo. Anota la incidencia, el responsable, la medida y su estado. Si se acepta una estimación, con sus supuestos y su motivo; si se descarta un duplicado, con la razón.

Antes de cerrar el indicador, una comprobación: el valor, las reglas aplicadas y la documentación son coherentes, y las excepciones pendientes están identificadas y no escondidas en un comentario de Excel o en un hilo de correo. Así el cierre concentra la atención en las lagunas que de verdad requieren criterio, en lugar de obligar a revisar cada dato desde cero.

 

Cómo lo hace Voombu

Cuando cada marco genera una recopilación distinta, los equipos acaban gestionando versiones paralelas de la misma información. Voombu es la infraestructura de datos de gobierno, riesgo y cumplimiento que lo evita: el dato entra una vez, con su evidencia, y de ahí sale todo lo demás.

El principio es "un dato, todos los marcos". Cada dato se carga con su documento fuente, su periodo, su entidad y su responsable, y la plataforma lo proyecta sobre más de dieciséis marcos (CSRD y ESRS, VSME, GRI, CDP, Taxonomía, entre otros) sin volver a pedirlo. El historial de cada cifra queda registrado: quién la creó, quién la revisó, qué cambió y con qué justificante. La extracción de evidencias asistida por IA lee facturas, certificados y políticas y propone el dato con su fuente; la persona valida.

Dos cosas hay que decir con la misma claridad que el resto del artículo. La proyección entre marcos ordena el trabajo, pero no decide si una cifra es adecuada para cada divulgación; esa correspondencia la revisa y la documenta la empresa. Y Voombu prepara la documentación para la verificación externa (salidas en Word, PDF y XBRL, expediente con evidencia por dato), pero no audita ni certifica informes. El verificador trabaja dentro del expediente; la conclusión es suya.

Para las consultoras que llevan varias organizaciones, el cliente multilicencia permite gestionar distintos clientes bajo su propia marca desde una infraestructura común, con los datos de cada cliente separados.

Si quieres ver cómo encaja este flujo en tu organización, solicita una demo.

 

Empieza por el indicador que más duele

No hace falta rediseñar todo el reporting. Elige un conjunto acotado de indicadores, los que más trabajo generan en cada cierre, y prueba el proceso con los equipos que aportan, revisan y aprueban la información. Verás dónde se atasca el flujo, qué decisiones requieren criterio y qué reglas conviene dejar por escrito antes de ampliarlo.

Y trata el registro de auditoría y linaje como parte de la gobernanza habitual, no como algo que se activa cuando se acerca el cierre. Define quién puede cambiar criterios, cómo se comunican esos cambios y cuándo se revisan los controles. Un alcance manejable permite probar las reglas, detectar fricciones y ajustar antes de extenderlo al resto de métricas. Lo contrario, intentar trazarlo todo a la vez el año en que llega el verificador, es la receta para que el registro se quede en una hoja más.

 

Preguntas frecuentes

¿Qué diferencia hay entre trazabilidad y audit trail en datos de sostenibilidad?
La trazabilidad permite seguir el recorrido de una métrica; el audit trail recoge las acciones registradas durante ese recorrido. La primera muestra que un indicador procede de datos de varias filiales; el segundo, quién revisó la consolidación y qué observaciones resolvió. Para que ambos funcionen, cada indicador necesita un identificador único que se use en todos los registros y documentos relacionados.

¿Puede un audit trail demostrar por sí solo que una cifra ESG es correcta?
No. Muestra cómo se preparó la cifra, pero no garantiza que la fuente sea exacta ni que el método sea el adecuado. El registro puede conservar la factura y la fórmula, y aun así habrá que comprobar que la factura corresponde al centro y al periodo incluidos. Documentar facilita la revisión; no equivale a una validación independiente.

¿Qué evidencias conviene conservar para un indicador de sostenibilidad?
Las que respaldan el dato y permiten reproducir cómo se obtuvo: facturas, lecturas de contadores, extractos de sistemas, respuestas de proveedores, hojas de cálculo y notas metodológicas, cada una con su periodo, su entidad y la versión del cálculo a la que corresponde. Si el documento contiene información confidencial, aplica los controles de acceso y conservación de tu organización antes de compartirlo.

¿Cómo se documenta una estimación cuando no hay dato primario?
Indicando que es una estimación y registrando el método, los datos de entrada, los supuestos, el periodo y el responsable. Si calculas un consumo a partir de la superficie y un factor interno, conserva los dos valores y explica por qué se usaron. Señala las limitaciones conocidas y qué información permitiría sustituir la estimación por un dato primario en el siguiente ciclo.

¿Quién debe aprobar los cambios en un dato ESG?
Quien defina la empresa en sus niveles de control, con una pauta mínima: quien prepara o corrige el dato no debería ser la única persona que autorice su uso en el informe. La revisión, a alguien que conozca el indicador; la aprobación, a un responsable con autoridad sobre esa información. Y constancia de las sustituciones si la persona asignada no está disponible.

¿Cómo se registra un cambio de metodología en una serie histórica?
Con la fecha de aplicación, el método anterior y el nuevo, el motivo y los indicadores afectados. Después hay que decidir, y justificar, si se recalculan los periodos anteriores o si se presenta una ruptura en la serie, conservando los resultados originales y los recalculados con sus versiones identificadas. Así quien analice la evolución distingue un cambio en el desempeño de un cambio en la forma de medirlo.

¿Puede reutilizarse un mismo dato en varios marcos de reporte?
Sí, siempre que represente el mismo concepto, periodo, entidad y perímetro en cada uso. Antes de reutilizarlo, compara las definiciones y unidades que exige cada divulgación y documenta las adaptaciones. El registro de linaje mantiene esa relación sin perder de vista qué valor se comparte y qué tratamiento corresponde a cada marco; la adecuación de cada asignación sigue siendo responsabilidad de la empresa.