5 Attestasjon

5.1 Godkjenning av revisjonsselskaper

5.1.1 Gjeldende rett

Revisorloven § 4-1 gir regler om godkjenning av revisjonsselskaper. Det følger av første ledd at Finanstilsynet gir godkjenning til foretak

• a. som er organisert som ansvarlig selskap, kommandittselskap, aksjeselskap, allmennaksjeselskap eller samvirkeforetak,

• b. som har et styre hvor et flertall av både medlemmene og varamedlemmene i styret er revisorer som er godkjent etter denne lov, av myndighetene i et annet EØS-land eller av et land Norge har inngått avtale om gjensidig godkjenning av revisorer med,

• c. hvor godkjente revisorer eller godkjente revisjonsselskap innehar mer enn halvparten av stemmene i selskapets øverste organ, og

• d. som er i stand til å oppfylle sine forpliktelser etter hvert som de forfaller.

Det følger av annet ledd at revisjonsselskap der de ansatte har rett til å velge styremedlemmer, skal flertallskravet i første ledd bokstav b også oppfylles blant de styremedlemmene som ikke er valgt av de ansatte.

Revisorloven § 4-1 første ledd b og c gjennomfører revisjonsdirektivet artikkel 3 nr. 4 første ledd bokstav b og c.

5.1.2 Forventet EØS-rett

Omnibus I-direktivet endrer revisjonsdirektivet artikkel 3 nr. 4 om godkjenning av revisjonsselskaper. I første ledd bokstav a endres opplistingen av bestemmelser som inneholder vilkår som fysiske personer som gjennomfører lovfestet revisjon på vegne av revisjonsselskap må oppfylle. Bestemmelsen viste tidligere til artikkel 4 og 6 til 12, men etter endringene er det ikke lenger et krav om at vilkårene knyttet til attestasjon av bærekraftsrapportering i artikkel 6 nr. 2, artikkel 7 nr. 2, artikkel 8. nr. 3 og artikkel 10 nr. 1 annet ledd må være oppfylt.

Første ledd bokstav b om at flertallet av stemmerettighetene i revisjonsselskapet skal innehas av revisjonsselskap som er godkjent i et medlemsland eller av fysiske personer som oppfyller kravene til godkjenning, endres tilsvarende som bokstav a. Bokstav c om at et flertall på inntil 75 prosent av medlemmene i foretakets administrasjons- eller ledelsesorgan skal være et godkjent revisjonsselskap eller fysiske personer som oppfyller vilkårene for å få revisorgodkjenning, endres også på samme måte.

5.1.3 Forslaget i høringsnotatet

Departementet ga i høringsnotatet følgende vurderinger av behovet for lovendringer for å gjennomføre endringene i revisjonsdirektivet artikkel 3 nr. 4 om godkjenning av revisjonsselskaper:

«Endringene i revisjonsdirektivet artikkel 3 nr. 4 klargjør at det ikke er et krav etter direktivet at revisorer har godkjenning som bærekraftsrevisor for at kravene i bokstav b og c om henholdsvis stemmerettigheter og sammensetting av administrasjons- eller ledelsesorgan skal være oppfylt.

Revisorloven § 4-1 ble ikke endret ved gjennomføringen av CSRD i norsk rett, og det er etter departementets foreløpige vurdering ikke behov for å gjøre endringer i bestemmelsen for å gjennomføre direktivendringene.»

5.1.4 Høringsinstansenes syn

Ingen høringsinstanser har hatt merknader til vurderingene i høringsnotatet om at det ikke er behov for lovendringer for å gjennomføre endringene i revisjonsdirektivet artikkel 3 nr. 4 om godkjenning av revisjonsselskaper.

5.1.5 Departementets vurdering

Departementet viser til vurderingene i høringsnotatet, og foreslår ikke lovendringer for å gjennomføre direktivendringen.

5.2 Oppdragsansvarlig

5.2.1 Gjeldende rett

Revisorloven § 9-3 gir regler om oppdragsansvarlig revisor. Det følger av § 9-3 første ledd annet punktum at et revisjonsselskap skal utpeke én bærekraftsrevisor som oppdragsansvarlig revisor for hvert oppdrag om attestasjon av pliktig bærekraftsrapportering. Som for oppdrag om lovfestet revisjon, skal sikring av oppdragskvalitet, uavhengighet og kompetanse være de viktigste kriteriene for utpekingen. Revisjonsselskapet skal sørge for at den oppdragsansvarlige revisoren har tilgang på tilstrekkelige ressurser og personer med nødvendig kompetanse til å utføre sine oppgaver på en forsvarlig måte, herunder kompetanse om gjeldende lovkrav for virksomheten.

Det følger av § 9-3 annet ledd at oppdragsansvarlig revisor skal være aktivt involvert i oppdragsutførelsen og sette av tilstrekkelig tid og ressurser til å utføre sine oppgaver på en forsvarlig måte. Dette gjelder også en statsautorisert revisor som utfører lovfestet revisjon eller attestasjon av pliktig bærekraftsrapportering i eget navn.

Reglene om oppdragsansvarlig revisor for oppdrag om attestasjon av pliktig bærekraftsrapportering gjennomfører revisjonsdirektivet artikkel 24b nr. 1 annet ledd og nr. 2a.

5.2.2 Forventet EØS-rett

Omnibus I-direktivet endrer revisjonsdirektivet artikkel 24b nr. 1 annet ledd ved at det presiseres at oppdragsansvarlig revisor for oppdrag om attestasjon av bærekraftsrapportering («key sustainability partner») må oppfylle kravene i direktivet artikkel 4 og 6 til 12.

Endringene om oppdragsansvarlig og godkjenning av revisjonsselskaper er i fortalen avsnitt 3 begrunnet i at det, gitt endringene i virkeområdet for krav til bærekraftsrapportering, vil være uproporsjonalt å kreve at revisjonsselskaper som ønsker å attestere bærekraftsrapportering må oppfylle samme krav til godkjenning som revisjonsselskaper som reviderer årsregnskap. Revisjonsselskaper som ønsker å attestere bærekraftsrapportering, skal kun måtte sikre at de utpeker minst én oppdragsansvarlig bærekraftsrevisor som må oppfylle kravene til å inneha denne rollen og er autorisert som revisor i medlemsstaten.

5.2.3 Forslaget i høringsnotatet

Departementet vurderte i høringsnotatet at det ikke er behov for lovendringer for å gjennomføre endringene i revisjonsdirektivet artikkel 24b nr. 1 annet ledd.

5.2.4 Høringsinstansens syn

Ingen høringsinstanser har hatt merknader til vurderingene i høringsnotatet på dette punktet.

5.2.5 Departementets vurdering

Departementet viser til vurderingene i høringsnotatet, og foreslår ikke lovendringer for å gjennomføre direktivendringen.

5.3 Attestasjonsuttalelse

5.3.1 Gjeldende rett

Etter revisorloven § 9-7 a tredje ledd skal revisor gi uttrykk for en mening om bærekraftsrapporteringen på grunnlag av et attestasjonsoppdrag som skal gi moderat eller betryggende sikkerhet. På dette grunnlaget skal revisor uttale seg om bærekraftsrapporteringen er i samsvar med kravene i regnskapsloven kapittel 2 og rapporteringskravene i taksonomiforordningen artikkel 8, foretakets prosesser for å identifisere informasjonen som er rapportert, og om kravet til å merke rapporteringen i samsvar med kravene til elektronisk rapporteringsformat (ESEF). Uttalelsen må gis i en form som tilfredsstiller kravene i gjeldende attestasjonsstandarder om hvordan det skal konkluderes på et attestasjonsoppdrag som skal gi moderat sikkerhet. Moderat sikkerhet er et minstekrav, men bestemmelsen åpner også for at attestasjonsuttalelsen avgis med betryggende sikkerhet i stedet, dersom det finnes standarder for dette. Bestemmelsen gjennomfører regnskapsdirektivet artikkel 34 nr. 1 bokstav aa.

Forskjellen mellom «moderat sikkerhet» og «betryggende sikkerhet» er omtalt slik av Verdipapirlovutvalget i NOU 2023: 15 Bærekraftsrapportering punkt 5.1.1:

«Revisjonsfaglig skilles det mellom oppdrag om attestasjon med betryggende og moderat sikkerhet. Betryggende sikkerhet er en høy grad av sikkerhet, men ingen garanti for at revisors arbeid alltid vil avdekke vesentlig feilinformasjon som eksisterer. Typen, tidspunktet for og omfanget av de valgte handlingene, er gjenstand for revisors skjønn, og er basert på en vurdering av risikoene for vesentlig feilinformasjon. Som en del av revisjonen, identifiserer og vurderer revisor risikoen for vesentlig feilinformasjon i rapporteringen, enten det skyldes misligheter eller utilsiktede feil. Revisor utformer og gjennomfører kontrollhandlinger for å håndtere slike risikoer, og innhenter revisjonsbevis som er tilstrekkelig og hensiktsmessig som grunnlag for en konklusjon med betryggende sikkerhet. Arbeidet omfatter å opparbeide seg en forståelse av den interne kontrollen som er relevant for attestasjonen, slik at revisor kan utforme revisjonshandlinger som er hensiktsmessige etter omstendighetene. Revisor evaluerer også om de anvendte rapporteringsprinsippene er hensiktsmessige, vurderer om estimater og tilleggsopplysninger er rimelige, og evaluerer den samlede presentasjonen, strukturen og innholdet i rapporteringen. For å kunne gi uttrykk for en mening om den konsoliderte rapporteringen, innhenter revisor i et konsern tilstrekkelig og hensiktsmessig revisjonsbevis vedrørende informasjonen til enhetene eller forretningsområdene i konsernet.

Et attestasjonsoppdrag som skal gi moderat sikkerhet inneholder alle de samme elementene som et oppdrag som skal gi betryggende sikkerhet. Kontrollhandlingene som utføres er imidlertid av et betydelig mindre omfang, og vil primært bestå i å rette forespørsler til ledelsen og andre hos den reviderte, gjennomføre såkalte analytiske handlinger og evaluere bevis som blir innhentet.»

Det følger av revisjonsdirektivet artikkel 26a nr. 3 at EU-kommisjonen skal vedta standarder for attestasjon av bærekraftsrapportering med moderat sikkerhet innen 1. oktober 2026 og standarder for attestasjon med betryggende sikkerhet innen 1. oktober 2028. Slike standarder har ikke blitt vedtatt. Revisorloven § 9-4 a femte ledd gir Finansdepartementet hjemmel til å fastsette forskrift om gjennomføring av standarder for attestasjon av pliktig bærekraftsrapportering som EU-kommisjonen vedtar i medhold av revisjonsdirektivet artikkel 26a nr. 3.

5.3.2 Forventet EØS-rett

Omnibus I-direktivet endrer regnskapsdirektivet artikkel 34 nr. 1 bokstav aa ved at henvisningen til direktivet artikkel 29c om standarder for bærekraftsrapportering for små og mellomstore foretak fjernes, jf. at direktivet opphever den aktuelle bestemmelsen, se nærmere omtale under punkt 4.3.2.1. Omnibus I-direktivet innfører videre et nytt nr. 2a i artikkel 34 om at medlemsstatene skal påse at attestasjonsuttalelsen nevnt i nr. 1 bokstav aa er utarbeidet med full respekt for retten for foretak i verdikjeden med færre enn 1 000 ansatte til å nekte å gi informasjon til rapporteringspliktige foretak ut over det som er spesifisert i standardene for frivillig rapportering som skal vedtas med hjemmel i regnskapsdirektivet artikkel 29ca, se nærmere omtale under punkt 4.3.2.2.

Omnibus I-direktivet endrer revisjonsdirektivet artikkel 26a nr. 3 om EU-kommisjonens hjemmel til å fastsette standarder for attestasjon av bærekraftsrapportering, ved at den begrenses til å gjelde standarder for attestasjon med moderat sikkerhet. Bakgrunnen for endringen er et ønske om å ikke øke kostnadene for foretakene, se fortalen avsnitt 5. Videre utsettes fristen for EU-kommisjonen til å fastsette standarder for attestasjon med moderat sikkerhet til 1. juli 2027. Etter bestemmelsen skal EU-kommisjonen fastsette standarder kun når slike standarder

• a) har blitt utviklet i tråd med prinsipper om korrekt saksbehandling, offentlig involvering og åpenhet,

• b) bidrar til høy troverdighet og kvalitet i bærekraftsrapportering og

• c) bidrar til kollektive goder i EU.

Omnibus I-direktivet retter videre en inkurie i revisjonsdirektivet artikkel 48a nr. 2.

5.3.3 Forslaget i høringsnotatet

Departementet vurderte i høringsnotatet at det ikke er behov for lovendringer for å gjennomføre endringene i regnskapsdirektivet artikkel 34 nr. 1 bokstav aa om attestasjonsuttalelser. Departementet viste i den forbindelse til at den norske lovbestemmelsen i revisorloven § 9-7 a tredje ledd bokstav c viser til rapporteringsstandardene generelt, og ikke til de enkelte standardene som EU-kommisjonen har, eller har hatt, hjemmel til å fastsette.

Departementet vurderte samtidig at det er behov for lovendringer for å gjennomføre regnskapsdirektivet artikkel 34 nytt nr. 2a om at attestasjonsuttalelsen skal ta hensyn til retten for foretak i verdikjeden med færre enn 1 000 ansatte til å nekte å gi informasjon til rapporteringspliktige foretak ut over det som følger av standardene for frivillig rapportering.

Departementet viste i høringsnotatet til at endringene i revisjonsdirektivet § 26a fjerner muligheten for å gå fra krav om attestasjon med moderat sikkerhet til betryggende sikkerhet. Departementet foreslo å endre revisorloven § 9-7 a for å reflektere dette slik at bestemmelsen bare gjelder attestasjonsoppdrag som skal gi moderat sikkerhet.

5.3.4 Høringsinstansens syn

Ernst & Young AS viser til at det etter gjeldende regler om europeiske standarder for bærekraftsrapportering (ESRS) kreves at rapporteringspliktige foretak innhenter informasjon fra verdikjeden, og at dersom informasjonen ikke er tilgjengelig, skal foretaket benytte estimater. På bakgrunn av at informasjonskravet i ESRS både kan dekkes ved direkte informasjon fra verdikjeden, eller alternativt ved at selskapet selv estimerer, mener Ernst & Young at det vil være hensiktsmessig med en klargjøring av hva som forventes fra revisor etter § 9-7 a nytt fjerde ledd. PricewaterhouseCoopers AS og Revisorforeningen støtter den foreslåtte bestemmelsen om at attestasjonsuttalelsen skal ta hensyn til retten for foretak i verdikjeden med færre enn 1 000 ansatte til å nekte å gi informasjon til rapporteringspliktige foretak ut over det som følger av standardene for frivillig rapportering, men viser samtidig til at foretakene likevel må estimere verdikjedeeffekter der rapporteringskravene krever dette.

Finansforbundet er kritisk til forslaget om å fjerne muligheten for attestasjon med betryggende sikkerhet og begrense ordningen til moderat sikkerhet, og viser til at dette kan svekke tilliten til bærekraftsrapporteringen og øke risikoen for grønnvasking eller selektiv rapportering. Finansforbundet mener det bør vurderes om det fortsatt bør være adgang til høyere grad av sikkerhet, særlig for foretak med betydelig samfunns- og arbeidslivspåvirkning.

Norsk Hydro ASA, Revisorforeningen og Virke støtter forslaget om at overgangen fra krav om attestasjon med moderat sikkerhet til betryggende sikkerhet fjernes.

5.3.5 Departementets vurdering

Departementet viser til at det følger av revisorloven § 9-7 a tredje ledd bokstav c punkt i at revisor skal gi uttrykk for en mening på grunnlag av et attestasjonsoppdrag som skal gi moderat eller betryggende sikkerhet, om bærekraftsrapporteringen er i samsvar med kravene i regnskapsloven kapittel 2, inkludert standardene for bærekraftsrapportering. Departementet viser videre til forslaget om å gjennomføre direktivbestemmelser som skal skjerme foretak i verdikjeden fra informasjonsforespørsler i regnskapsloven ny § 2-4 a. Etter departementets vurdering vil det følge av revisorloven § 9-7 a tredje ledd bokstav c punkt i at revisor i attestasjonsuttalelsen skal ta hensyn til retten for foretak i verdikjeden med færre enn 1 000 ansatte til å nekte å gi informasjon til rapporteringspliktige foretak ut over det som følger av standardene for frivillig rapportering, jf. at regnskapsloven § 2-4 a inngår i regnskapsloven kapittel 2. Departementet legger derfor til grunn at det ikke er strengt nødvendig å presisere dette i revisorloven § 9-7 a. Departementet vurderer likevel at det kan være hensiktsmessig å tydeliggjøre at revisor skal hensynta skjermingen av foretak i verdikjeden og ikke be om verdikjedeinformasjon ut over det som følger av standardene for frivillig rapportering fra rapporterende foretak eller fra skjermede foretak, og foreslår lovendringer i tråd med forslaget i høringsnotatet. Det vises til forslaget til endringer i revisorloven § 9-7 a.

Når det gjelder høringsinnspillene om bruk av estimater, viser departementet til at det følger av revisorloven § 9-7 a tredje ledd bokstav c punkt i at revisor skal gi uttrykk for en mening om bærekraftsrapporteringen er i samsvar med standardene for bærekraftsrapportering. Dette vil inkludere krav i standardene om bruk av estimater i tilfeller der verdikjedeinformasjonen ikke er tilgjengelig.

Departementet viser til vurderingene i høringsnotatet om at revisorloven § 9-7 a tredje ledd bokstav c bør endres for å ta hensyn til at endringene i revisjonsdirektivet artikkel 26a fjerner muligheten for å gå fra krav om attestasjon med moderat sikkerhet til betryggende sikkerhet. Departementet fastholder vurderingen i høringsnotatet. I vurderingen legger departementet legger vekt på at EU-kommisjonens hjemmel etter revisjonsdirektivet artikkel 26a nr. 3 hjemmel til å fastsette standarder for attestasjon av bærekraftsrapportering, begrenses til å gjelde standarder for attestasjon med moderat sikkerhet.

5.4 Revisjonsforetak fra land utenfor EØS

5.4.1 Gjeldende rett

Revisorloven § 12-6 gir regler om registrering av revisjonsforetak fra land utenfor EØS som reviderer foretak notert på regulert marked i Norge. Reglene om registrering gjelder også revisjonsforetak som attesterer bærekraftsrapporteringen til et foretak som har utstedt omsettelige verdipapirer som er tatt opp til handel på et regulert marked i Norge.

§ 12-6 syvende ledd gir Finansdepartementet hjemmel til å fastsette forskrift om registrering og tilsyn med registrerte revisjonsforetak. Slike regler er gitt i forskrift om revisjon og revisorer kapittel 2.

Bestemmelsene i § 12-6 og forskrift om revisjon og revisorer kapittel 2 gjennomfører revisjonsdirektivet artikkel 45.

5.4.2 Forventet EØS-rett

Omnibus I-direktivet endrer revisjonsdirektivet artikkel 45 nr. 5 annet ledd bokstav a ved at det ikke lenger forutsettes at mer enn halvparten av medlemmene i tredjelandsrevisjonsselskapet må oppfylle vilkårene knyttet til attestasjon av bærekraftsrapportering i artikkel 7 nr. 2, artikkel 8. nr. 3 og artikkel 10 nr. 1 annet ledd.

Omnibus I-direktivet innfører et nytt nr. 5b i revisjonsdirektivet artikkel 45 om revisjonsforetak fra land utenfor EØS. Etter bestemmelsen skal medlemsstatene ikke anvende artikkel 45 nr. 1 til 5a for attestasjonsuttalelser om bærekraftsrapportering eller konsolidert bærekraftsrapportering for regnskapsår som starter mellom 1. januar 2025 og 31. desember 2030, gitt at den aktuelle tredjelandsrevisoren eller tredjelandsrevisjonsselskapet gjør følgende informasjon tilgjengelig for tilsynsmyndigheten:

• a) Navnet og adressen til revisoren eller revisjonsselskapet og informasjon om dets juridiske struktur.

• b) Er erklæring om at tredjelandsrevisoren som signerer attestasjonsuttalelsen har opparbeidet kunnskap om bærekraftsrapportering og attestasjon av rapportering, og informasjon om nivået på denne kunnskapen.

• c) Dersom revisoren eller selskapet inngår i et nettverk, en beskrivelse av dette nettverket.

• d) Attestasjonsstandardene og kravene til uavhengighet som har blitt anvendt ved attestasjon av bærekraftsrapportering.

• e) En beskrivelse av revisjonsselskapets system for kvalitetsstyring som dekker attestasjon av bærekraftsrapportering.

• f) Informasjon om det har vært utført kvalitetskontroll av revisor eller revisjonsforetaket knyttet til attestasjon av bærekraftsrapportering, og ev. når siste kvalitetskontroll ble utført, samt nødvendig informasjon om utfallet av kvalitetskontrollen.

Etter å ha mottatt den ovennevnte informasjonen, skal tilsynsmyndigheten registrere tredjelandsrevisoren eller tredjelandsrevisjonsselskapet for attestasjon av bærekraftsrapportering og tydeliggjøre at registreringen bare gjelder for overgangsperioden. Hvis noe av informasjonen nevnt i punkt a til f over ikke gjøres tilgjengelig, skal tilsynsmyndigheten ikke registrere tredjelandsrevisoren eller tredjelandsrevisjonsselskapet.

Endringen er omtalt i fortalen avsnitt 6, hvor det pekes på at det vil være uproporsjonalt å kreve at tredjelandsrevisorer oppfyller alle vilkårene for registrering de første årene med krav til attestasjon av bærekraftsrapportering.

5.4.3 Forslaget i høringsnotatet

Departementet ga i høringsnotatet følgende vurderinger av behovet for lovendringer for å gjennomføre endringene i direktivbestemmelsene om revisjonsforetak fra land utenfor EØS:

«Etter departementets vurdering er det ikke behov for lovendringer for å gjennomføre endringene i revisjonsdirektivet artikkel 45 nr. 5 annet ledd bokstav a. Departementet vil vurdere behovet for endringer i forskrift om revisjon og revisorer kapittel 2 for å gjennomføre endringene i revisjonsdirektivet artikkel 45 som følger av Omnibus I-direktivet og CSRD.

Etter departementets vurdering er det behov for regelverksendringer for å gjennomføre revisjonsdirektivet artikkel 45 nytt nr. 5b om lempeligere krav til tredjelandsrevisorer og tredjelandsrevisjonsselskap i en overgangsperiode som dekker regnskapsår som starter mellom 1. januar 2025 og 31. desember 2030. Etter departementets foreløpige vurdering synes det mest hensiktsmessig at regler som gjennomfører direktivbestemmelsen gis i forskrift, og at departementets hjemmel til å fastsette forskriftsregler utvides til å omfatte unntak fra regler som gjennomfører revisjonsdirektivet artikkel 45 nr. 1 til 5a, se utkast til endringer i revisorloven § 12-6 syvende ledd.»

5.4.4 Høringsinstansens syn

Ingen høringsinstanser har uttalt seg om vurderingene i høringsnotatet om behovet for lovendringer for å gjennomføre endringene i direktivbestemmelsene om revisjonsforetak fra land utenfor EØS.

5.4.5 Departementets vurdering

Departementet viser til vurderingene i høringsnotatet og at høringsinstansene ikke har hatt merknader til disse. Det vises til forslaget til endringer i revisorloven § 12-6.