In het kort
- Een audit trail richt je in voordat je de eerste gegevens uploadt, want je kunt hem achteraf niet als rapport samenstellen.
- Als je per invoer zeven velden vastlegt, kun je vrijwel elke vraag over je cijfers beantwoorden.
- Drie rollen die door verschillende mensen worden vervuld, maken je cijfers geloofwaardiger dan een verzorgd dashboard.
Een audit trail voor CO2-data legt doorlopend vast wie elk cijfer heeft ingevoerd, uit welk document het komt, welke emissiefactor in welke versie is toegepast, wie het heeft gecontroleerd en wanneer er iets is gewijzigd. Je hebt zo'n audit trail nodig zodra anderen je cijfers gebruiken, bijvoorbeeld bij assurance, bij inschrijvingen op aanbestedingen en als leverancier die vragenlijsten van klanten invult. Je kunt hem niet aan het eind van het jaar samenstellen, omdat een audit trail gebeurtenissen alleen kan vastleggen op het moment dat ze plaatsvinden. Begin je binnenkort met het verzamelen van data, bepaal dan deze week welke velden je vastlegt en wie welke rol krijgt, nog voordat je de eerste bestanden uploadt.
Een export en een audit trail zijn twee verschillende dingen. De export is wat je aan een klant of auditor overhandigt, en de audit trail maakt aannemelijk dat de cijfers in die export kloppen. Veel teams hebben wel een export gemaakt maar geen audit trail bijgehouden, en ontdekken dat pas wanneer iemand om onderbouwing vraagt.
Wat geldt eigenlijk als audit trail voor CO2-data?
In de financiële audit is al lang duidelijk wat een audit trail is, en de CO2-rapportage heeft die definitie overgenomen, ook al wordt dat niet altijd zo gezegd. De toets is of een deskundige buitenstaander kan nagaan hoe een gerapporteerd totaal is opgebouwd, zonder de persoon te spreken die het werk heeft gedaan.
Daarvoor zijn drie lagen nodig.
De invoerlaag. Hierin staat elke activiteitsregistratie, met de hoeveelheid, de eenheid, de periode, de locatie en de entiteit.
De berekeningslaag. Hierin staat hoe een activiteit is omgerekend naar een emissiecijfer: de emissiefactor met zijn waarde en eenheid, de database waar die factor uit komt en de versie van die database, plus eventuele omrekeningen van valuta of afstand.
De controlelaag. Hierin staat wie de invoer heeft gedaan, wie die heeft gecontroleerd en goedgekeurd, wat er daarna is gewijzigd en waarom.
De meeste tools regelen de eerste laag goed. In de tweede en de derde laag verschillen de producten van elkaar, en daar zit ook het prijsverschil tussen een eenvoudige CO2-calculator en een rapportageplatform.
Welke velden horen bij elke invoer?
Leg je per invoer de volgende zeven velden vast, dan kun je vrijwel elke vraag over je cijfers beantwoorden.
| Veld | Waarom je het vastlegt | Wat er misgaat als het ontbreekt |
|---|---|---|
| Bronverwijzing | Het verwijst naar het geüploade bestand of document | Het cijfer is overgetypt en je kunt het niet onderbouwen |
| Hoeveelheid en eenheid | Het legt de activiteit vast zoals die in de bron stond | Eenheden raken verward, meestal liters en kilogrammen |
| Periode en entiteit | Het koppelt de invoer aan een rapportagejaar en aan de afbakening | Bij de consolidatie belandt invoer in het verkeerde jaar |
| Emissiefactor | Het legt naam, waarde, eenheid en brondatabase van de factor vast | De naam van de factor is bekend, maar de gebruikte waarde niet |
| Versie van de factordatabase | Het legt vast welke release van die database is toegepast | Cijfers van eerdere jaren veranderen ongemerkt als de database wordt bijgewerkt |
| Toegepaste omrekening | Het legt de omrekening van valuta, afstand of eenheid en de basis daarvan vast | De invoer wijkt af van het brondocument en niemand kan verklaren waarom |
| Gebruiker en tijdstip | Het legt vast wie de invoer heeft gedaan, gewijzigd of goedgekeurd, en wanneer | Er is geen functiescheiding, dus er is geen controle waarop een auditor kan steunen |
Kopers controleren de zesde rij het minst vaak, en daarom staan we er wat langer bij stil. Een klant van Hedgehog heeft precies dit punt in het openbaar gemaakt. Een reviewer uit het segment Mid-Market gaf ons in juli 2026 op G2 een 4 van de 5 en schreef graag te willen zien welke conversiefactor was toegepast toen een bedrag in USD werd omgezet naar een invoer in EUR, en met welke calculator een afstand in het distributieoverzicht was berekend. Volgens de reviewer zou een link naar de bron al genoeg zijn. Voor die informatie is dit veld bedoeld.
Wie heeft een audit trail nodig, en hoe streng moet die zijn?
Hoe streng de audit trail moet zijn, hangt af van wie je cijfers gaat bekijken.
Alleen interne rapportage. Een consistente methode en een overzicht van je bronnen zijn dan genoeg. Je gebruikt het cijfer om je eigen organisatie te sturen en hoeft het niet tegenover anderen te verdedigen.
Vragenlijsten van klanten en aanbestedingen. Je moet kunnen laten zien waar je emissiefactoren vandaan komen, en je afbakening moet van jaar tot jaar gelijk blijven. Een inkoopteam kan je vragen een cijfer te onderbouwen, en een certificerende instelling doet dat zeker. Op dit niveau zitten de meeste mkb-bedrijven, vaak zonder dat ze het zelf doorhebben.
Onafhankelijke assurance. Je hebt alle drie de lagen nodig, met functiescheiding. Ontbreekt daar iets aan, dan leidt dat tot bevindingen van de assurance-verlener.
Publieke claims. Hier gelden de strengste eisen, en die worden het vaakst onderschat. Sinds 27 september 2026 is de Empowering Consumers-richtlijn, Richtlijn (EU) 2024/825, via nationale wetgeving in de hele EU van toepassing. De richtlijn verplicht je niet om elke claim op verzoek te onderbouwen, maar verbiedt een aantal met name genoemde praktijken, en drie daarvan zijn relevant voor wie de CO2-cijfers van een bedrijf beheert. Een algemene milieuclaim is oneerlijk als je geen erkende uitstekende milieuprestatie kunt aantonen die bij die claim past. Een claim dat een product neutraal, verminderd of positief is wat broeikasgassen betreft op basis van compensatie, is altijd verboden. En voor een claim over toekomstige milieuprestaties heb je duidelijke, objectieve, openbaar beschikbare en verifieerbare toezeggingen nodig, uitgewerkt in een gedetailleerd en realistisch uitvoeringsplan. Bij zo'n claim is een inventarisatie met een audit trail geen administratieve verplichting meer, maar het bewijs voor wat je belooft. Wij houden een werklijst bij in de claims checklist.
Wat gebeurt er als de database met emissiefactoren wordt bijgewerkt?
Aan het antwoord op deze vraag zie je of een audit trail echt werkt of alleen zo oogt. Stel de vraag daarom in een demo aan de leverancier.
Databases met emissiefactoren worden regelmatig herzien. Als je platform de nieuwe versie zonder melding toepast op een jaar dat al is afgesloten, sluit het cijfer dat je vorig jaar hebt gepubliceerd niet meer aan op je eigen systeem. Een reductie die je hebt gerapporteerd, is dan niet meer te onderscheiden van het effect van de nieuwe database.
Er zijn twee aanvaardbare manieren om hiermee om te gaan, en bij allebei moet zichtbaar zijn wat er gebeurt. Bij de eerste blijven afgesloten perioden gekoppeld aan de databaseversie waarmee ze zijn berekend. Bij de tweede wordt een herberekening vastgelegd als restatement en blijft het oorspronkelijke cijfer ernaast bewaard. Vraag de leverancier welke van de twee het platform toepast, en laat het tonen op een eerdere periode in plaats van het alleen te laten beschrijven.
Voor je eigen factoren geldt hetzelfde. Voeg je een leverancierspecifiek cijfer toe, leg dan de datum en de bron vast en noteer welk cijfer het vervangt. Doe je dat niet, dan weet over twaalf maanden niemand meer waar het getal vandaan komt.
Wie mag wat wijzigen?
Je hebt minimaal drie rollen nodig, en als de bezetting het toelaat, worden die door drie verschillende mensen vervuld.
Data owner. De data owner voert gegevens in of uploadt ze voor een afgebakend deel, meestal een locatie, een entiteit of een categorie. Tot de periode is ingediend, kan de data owner de eigen invoer nog wijzigen.
Reviewer of auditor. De reviewer leest alles, plaatst opmerkingen en stelt vragen, maar kan geen cijfers wijzigen. Door deze rol heeft een interne controle betekenis.
Goedkeurder of manager. De goedkeurder sluit een periode af en is de enige die een afgesloten periode weer kan openen. Wordt een periode heropend, dan moet dat altijd worden vastgelegd.
Gedeelde logins maken deze scheiding waardeloos. Als twee mensen één account gebruiken, legt het systeem vast welk account iets heeft gedaan, maar niet welke persoon, en dan heeft de controlelaag geen waarde meer. Of je gedeelde logins toestaat, is een beleidskeuze en geen functie van de software. Een verbod kost niets, maar je moet het wel consequent handhaven.
Wat legt Hedgehog vast, en waar schiet het tekort?
Met het platform beheer je entiteiten over meerdere locaties en vestigingen, met aparte gebruikersrollen voor data owners, auditors en managers. Dat is de scheiding in drie rollen die hierboven is beschreven. Het platform stelt een inventarisatie volgens het GHG Protocol op en helpt je bij het in kaart brengen van je databronnen, data owners en documenten. Het bevat ruim 20.000 spend-based en activity-based emissiefactoren, en je kunt eigen organisatiespecifieke of leverancierspecifieke CO2-data toevoegen. Je kunt rapporteren volgens het GHG Protocol, PPN 006 en de CO2-Prestatieladder, en het platform ondersteunt de CSRD, SECR en SB253. Je opent gratis een account zonder verkoopgesprek, en Pro kost vanaf EUR 1.200 per jaar.
Het platform heeft drie beperkingen die je vooraf moet kennen.
Toegepaste omrekeningen zijn niet volledig zichtbaar voor de gebruiker. Dat blijkt uit de G2-review van juli 2026 die hierboven is aangehaald, en voor het onderwerp van dit artikel is het de belangrijkste beperking. Vraag er direct naar als je assurance-verlener steekproeven gaat nemen uit omgerekende invoer.
Het laden van de data gebeurt handmatig en kost veel werk. Een reviewer uit het segment Small Business schreef in augustus 2026 op G2 dat het platform perfect werkt zodra de data erin staan, maar dat het invoeren het lastige deel is. Met dat invoerwerk bouw je wel de audit trail op. Het is dus geen overbodige administratie, want juist dat werk levert het bewijs voor je cijfers.
Productvoetafdrukken zijn een dienst. Het platform berekent de voetafdruk van organisaties. Werk op productniveau, zoals LCA, EPD, MKI en PCF, wordt door mensen uitgevoerd en krijgt een eigen beoordelingsdossier. Dat valt onder LCA-advies en is geen functie van het platform.
Waar begin je?
Begin met het document waarin je de afbakening vastlegt, niet met de software. Zet op één pagina welke entiteiten en locaties meetellen, welke consolidatiemethode je gebruikt en wat je uitsluit, en laat dat dateren en ondertekenen door iemand uit het senior management. Bijna elk probleem dat later in de audit trail opduikt, komt voort uit een onduidelijke afbakening aan het begin.
Leg daarna de drie rollen vast, nog voor de eerste upload. Heeft iedereen een jaar lang onder één login gewerkt, dan kun je de functiescheiding achteraf niet meer herstellen. Je kunt het dan alleen voor de invoer vanaf dat moment goed regelen.
Upload vervolgens de brondocumenten zelf en bewaar die bestanden. Over elk cijfer dat je overtypt, kun je later vragen verwachten.
Vergelijk je nog tools aan de hand van deze lijst, dan vind je de bredere selectiecriteria in de juiste CO2-software kiezen. Wil je de rollen en de vastlegging op je eigen data testen, begin dan met een gratis account.
Bronnen: het Hedgehog-platform en Hedgehog op G2, beide gelezen op 27 augustus 2026. De GHG Protocol Corporate Accounting and Reporting Standard voor de eisen aan de inventarisatie. De regels voor claims uit Richtlijn (EU) 2024/825, gelezen in de tekst van het Publicatieblad op 16 september 2026: artikel 4 voor de toepassingsdatum van 27 september 2026, bijlage I, punten 4a en 4c, en artikel 6, lid 2, onder d), voor de verboden praktijken. Pagina geverifieerd op 16 september 2026.
Feiten op deze pagina zijn voor het laatst geverifieerd op 2026-09-16.
