CSRD · WAVE 2 Pilotprojekte ab Q3 2026 · FY2027-Berichte fällig im April 2028

Das CSRD-Hauptbuch, das Ihr Auditor nachvollziehen kann.

Unter EU Omnibus I (Richtlinie 2026/470, in Kraft seit 18. März 2026) gilt die Berichtspflicht für Gruppen, die sowohl 1'000 Mitarbeitende als auch 450 Mio. € Umsatz überschreiten. cobank gibt Ihren Controllern, Ihrem Nachhaltigkeitsteam und Ihrem externen Prüfer ein gemeinsames Hauptbuch, gebaut um ESRS E1, ISSA 5000 Limited Assurance und Schweizer OR 964a-c – einführbar, ohne Procurement oder Security-Review zu stolpern.

Schweizer Datenresidenz Unterzeichnete DPA · DSGVO Art. 28 SOC 2 Type I · Ziel Q4 2026
Compliance-Horizont live · cobank.ai/compliance
Heute
FY2027 beginnt
01 Jan 2027
Erster Bericht fällig
Apr 2028
Monate bis FY2027
Abschlusszyklen zum Üben
12w
typische Pilotdauer
Quelle: Richtlinie (EU) 2026/470, Art. 1 · in Kraft seit 18. März 2026. Zur Regulierungskarte →
Schritt 01 · Einordnen

Sind Sie in der Berichtspflicht?

EU Omnibus I hat die Wave-2-Schwellen angehoben und die Berichtspflicht auf FY2027 verschoben. Stellen Sie die Regler unten ein und prüfen Sie Ihre Gruppe gegen die geltenden Kriterien: die publizierte EU-Richtlinie 2026/470, Schweizer OR 964a und den Kotierungsstatus.

~/cobank/scope/check.run 3 Eingaben · in Echtzeit
Mitarbeitende der Gruppe (FTE) 1'200FTE
0 ↑ 1'000 (CSRD) 10'000+
Konzernumsatz 540M
€0 ↑ €450M (CSRD) €2B+
Kotierung & Rechtsraum
Mandatory scope
CSRD Wave 2 + Swiss OR 964a
You exceed both thresholds and are Swiss-incorporated. Your first ESRS E1 mandatory disclosure covers FY2027, published in the management report by April 2028. Limited assurance from the start; reasonable assurance phased in by the EU 2030 review.
1'000+ Mitarbeitende
1'200 ✓
450+ Mio. € Umsatz
€540M ✓
Sitz in der Schweiz / EU
CH ✓
Erstgespräch buchen → ARR band CHF 30k–150k
Schritt 02 · Zuordnen

Jede Klausel, die Ihr Auditor nennen wird – abgebildet auf eine Oberfläche in cobank.

Vier Regelwerke bestimmen Ihre Berichterstattung: die EU-CSRD, die ESRS-Standards, das Assurance-Rahmenwerk ISSA 5000 der IAASB und das Schweizer OR 964. Unten steht, was jedes verlangt – und die Stelle in cobank, an der es heute lebt.

CSRD Dir. (EU) 2022/2464 · Art. 19a(2)
Verlangt
Eine Nachhaltigkeitserklärung auf dem Niveau des Lageberichts, mit doppelter Wesentlichkeit, Angaben zur Wertschöpfungskette und zukunftsgerichteten Zielen, publiziert in maschinenlesbarem iXBRL.
cobank
Periodenabschluss → ESRS-konformes PDF + JSON. Jede Kennzahl der Erklärung führt zurück auf Belege auf Rechnungszeilenebene mit Hash-Ketten-Siegel. iXBRL-Tagging · Roadmap Q3 2026
ESRS E1 Climate Change · §§AR-43 → AR-72
Verlangt
Scope-1-, -2- und -3-THG-Inventar mit Angaben auf Kategorienebene, Transitionsplan, finanziellen Effekten und deklarierter Grenzziehungsmethode.
cobank
ESRS-E1-Outputs aus dem Snapshot der abgeschlossenen Periode. Grenze pro Periode deklariert; Scope 1 / 2 / 3 auf Positionsebene kategorisiert; beim Abschluss fixiert, mit eingefrorenen Faktoren und einem inputs_hash.
ISSA 5000 IAASB · Sustainability Assurance · 2025
Verlangt
Dokumentierte Stichprobenlogik, gewürdigte Fehldarstellungen und eine Beweiskette, die Limited- (oder Reasonable-) Assurance-Urteile zu E1-Angaben trägt.
cobank
Auditoren-Werkbank. Stichproben nach ISA 320 / ISA 530, Arbeitspapier-Aussagen, Hash-Ketten-Verifikation, versiegeltes Beweispaket mit einem Klick.
Swiss OR 964a-c Code of Obligations · Art. 964a–c
Verlangt
Bericht über nichtfinanzielle Belange zu Umwelt-, Sozial-, Arbeitnehmer-, Menschenrechts- und Korruptionsthemen, beim Klima TCFD-orientiert.
cobank
OR-964a-Vorlage für Klimaangaben. Die Klimaangaben stammen aus demselben E1-Hauptbuch – eine Quelle der Wahrheit für beide Regime.
Schritt 03 · Übergeben

Ihr Auditor bittet Sie nicht um Belege – er erhält ein versiegeltes Paket.

Beim Abschluss einer Berichtsperiode erzeugt cobank ein deterministisches Beweispaket (jede Position, jeder Faktor, jede Arbeitspapier-Aussage), versiegelt mit einer SHA-256-Hash-Kette. Ihre Auditfirma meldet sich an, zieht Stichproben, hält Aussagen fest, exportiert. Limited und Reasonable Assurance folgen demselben Ablauf auf demselben Hauptbuch.

Risikobasierte Stichproben mit schriftlicher ISA-320/ISA-530-Begründung pro Schicht.
Arbeitspapier-Aussagen, verknüpft mit Position, Faktorversion und Quelldokument.
Hash-Ketten-Verifikation in der App für jede abgeschlossene Periode; Verifikationsbericht zum Download für die Offline-Durchsicht.
Das Periodensiegel ist endgültig. Restatements landen als nachverfolgte Berichtigung in der Folgeperiode und überschreiben nie historische Daten.
evidence-FY2027-Q1__sealed.zip SEALED · 31 Mar 2027
/01-statement2 files
·esrs-e1.pdf142 KB
·or-964a-report.pdf1.4 MB
/02-ledger3 files
·lines.csv48'312 rows
·factors.frozen.csvDEFRA 2024 · BAFU 2025 · GLEC
·boundary.jsonoperational
/03-workpapers2 files
·sample-stratification.mdISA 530
·assertions.csv3'142 rows
/04-chainverification
·audit-log.csvSHA-256 chained
·verification-report.pdfperiod root sealed
Root-Hash der Periode 0x9a4f…c2eb1d
Was Sie erhalten

Alles aus den freiwilligen Tarifen – plus das, was Enterprise-Procurement tatsächlich verlangt.

Dasselbe Positionen-Hauptbuch, dieselbe versionierte Faktorbibliothek, umschlossen von den Kontrollen, Vertragsbedingungen und Prüfoberflächen, die den Security-Review eines kotierten Schweizer Konzerns bestehen.

01 Hauptbuch & Methodik
Konsolidierung mehrerer Gesellschaften
Hauptbücher von Mutter- und Tochtergesellschaften rollen in eine Konzernsicht auf. Grenzziehungsmethode (operativ, finanziell, Beteiligungsquote) pro Periode deklariert; Entitäten-Snapshots frieren beim Abschluss ein.
Volle Scope-3-Abdeckung
Kategorien 1, 3, 5, 6, 7 standardmässig, mit Faktor-Mapping-Unterstützung für 2, 4, 9, 11, 12, 15 auf Anfrage. Der Override-Modus akzeptiert Ihre eigene Faktorbibliothek.
Kundeneigene Faktorbibliothek
CSV-/Excel-Import Ihrer kuratierten Emissionsfaktoren. Versioniert und zur Berechnungszeit an die Positionen gebunden. Ihre Methodik gehört Ihnen; wir liefern das Hauptbuch, die Hash-Kette und den Prüfpfad.
Optionales ecoinvent-Add-on
In der Schweiz nicht nötig, um glaubwürdig zu sein: DEFRA, BAFU und GLEC decken den Standard ab. Verlangt Ihr Auditor ecoinvent, lizenzieren wir pro Kunde zum Durchreichpreis plus 20% Integrationsmarge.
02 Prüfoberfläche
Auditoren-Werkbank (beliebig viele Firmen)
Laden Sie Ihren Prüfer in abgeschlossene Perioden ein. Risikobasierte Stichproben, ISA-320/ISA-530-Begründung, Arbeitspapier-Aussagen, Hash-Ketten-Verifikation.
Export versiegelter Beweispakete
Versiegeltes ZIP pro abgeschlossener Periode, mit einem Klick. ESRS-konformer Bericht, Hauptbuch-CSV, eingefrorene Faktoren, Arbeitspapiere, Prüfprotokoll mit Perioden-Root-Hash, Verifikationsbericht.
Reasonable-Assurance-Workflow
Limited Assurance nach ISSA 5000 ist der Standard. Der Reasonable-Ablauf ist auf Anfrage verfügbar: dichtere Stichproben, erweiterte Testabdeckung, Wesentlichkeitsnarrativ.
Berichtigungspfad für abgeschlossene Perioden
Periodensiegel sind endgültig. Berichtigungen landen als verkettetes Ereignis (Diff, Begründung, Supersedes-Zeiger) und überschreiben nie den ursprünglichen Snapshot.
03 Sicherheit & Governance
SSO (OIDC und SAML 2.0)
Gruppen-zu-Rollen-Mapping. Feinere Granularität als owner / admin / reviewer / contributor / viewer auf Named-Account-Basis.
Unterzeichnete DPA & EU-Residenz
Unterzeichneter Auftragsverarbeitungsvertrag nach DSGVO Art. 28. EU-Residenz auf Anfrage; Schweizer Residenz ist der Standard. Die Liste der Unterauftragsverarbeiter ist auf cobank.ai/subprocessors publiziert – mit Benachrichtigung vor jeder Änderung.
Mandantenisolation auf Zeilenebene
Postgres-Row-Level-Security-Policies isolieren die Daten jedes Kunden. Service-Role-Zugriffe laufen durch die requireTenantMember-Autorisierung. Mandantenübergreifende Lesezugriffe liefern null Zeilen – verifiziert im Sicherheitsaudit vom April 2026.
SOC 2 Type I Q4 2026
Das Zertifizierungsverfahren hat noch nicht begonnen: Type I angepeilt für Q4 2026, Type II danach, ISO 27001 anschliessend. Bis dahin: Sicherheitszusammenfassung und Kontrolldokumentation unter NDA im Security-Fragebogen-Paket.
04 Betrieb & Vertrag
Benannter Account Manager
Ein fester Kontakt über die ganze Vertragslaufzeit. Quartalsweise Business-Reviews; direkter Draht zum Gründungsteam während der Abschlussperioden.
Onboarding in zwei bis vier Wochen
Grenzdeklaration, Einrichtung von ERP- und CSV-Datenquellen, Review der Faktorbibliothek, abgeschlossene Pilotperiode, bei der Ihre Auditfirma begleitend zusieht.
Service-Level-Agreement
Verfügbarkeitsziele, Reaktionszeiten und Uptime-Reporting, definiert in Ihrem Enterprise-Vertrag.
Individuelle Vertragsbedingungen
Jahresvertrag. NET-30 oder NET-60. Individuelles MSA auf Anfrage. Rechnung in CHF oder EUR. Verhandelte Kündigungs- und Datenexport-Klauseln.
Schritt 04 · Pilot

Vom Erstgespräch zum unterschriebenen Vertrag in vier Phasen.

Ausgerichtet an den Erwartungen Ihrer Auditfirma und Ihrem Procurement-Kalender, nicht an unserem. Die meisten Gruppen beginnen das Gespräch 12 bis 18 Monate vor ihrer ersten Pflichtperiode.

~/cobank/sales/pilot.flow 4 Phasen · insgesamt ~10–14 Wochen
PHASE 01
Erstgespräch
Woche 1 · 45 Min.

Das Gründungsteam geht Ihren Berichtsumfang, Ihren Entitätenbaum, Ihre Auditfirma und die erste betroffene Periode durch. Ohne Foliensatz.

Sie gehen mit
  • Umrissener Pilotvorschlag (3 Tage)
  • Beispiel-Beweispaket
  • Referenzkontakt einer Auditfirma
PHASE 02
Sandbox-Rundgang
Woche 2–3 · 90 Min.

Live-Rundgang durch Hauptbuch, Prüfoberfläche und Beweisexport an unserem Referenzdatensatz. Optional: Laden Sie Ihren Prüfer zum Zusehen ein.

Sie gehen mit
  • Zugangsdaten zum Sandbox-Workspace
  • Security-Fragebogen-Paket (CAIQ, individuell)
  • Sicherheitszusammenfassung + Kontrolldokumentation (unter NDA)
PHASE 03
Umrissener Pilot
Woche 4–13 · kostenpflichtig

Eine Gesellschaft oder ein Berichtsquartal. Echte Daten, echte Faktorbibliothek, echter Periodenabschluss. Fester Onboarding-Lead; die Auditfirma sitzt mit am Tisch.

Sie gehen mit
  • Eine versiegelte Berichtsperiode
  • Generalprobe für das Auditoren-Sign-off
  • Rollout-Plan für die Gruppe
PHASE 04
Jahresvertrag
Ab Woche 14 · laufend

Vollausbau über alle betroffenen Gesellschaften. Unterzeichnete DPA, benannter Account Manager, SLA in Kraft. ARR für 12 Monate fixiert – Preissicherheit während Wave 2.

Sie gehen mit
  • Produktions-Workspace
  • Benannter Account Manager
  • Quartalsweise Business-Reviews
Schritt 05 · Preis

Jahresverträge – offeriert, nicht gelistet.

Enterprise-Preise entstehen im Gespräch, weil Ihre Vertragstreiber (Anzahl Gesellschaften, FTE, Scope-3-Breite) zu stark variieren für ein öffentliches Preisschild. Die ARR-Spanne dagegen ist konstant.

Typische ARR-Spanne
CHF30k 150k
12-Monats-Commitment · jährliche Rechnung · CHF oder EUR

Die Lage in der Spanne folgt der Anzahl Gesellschaften, dem Rechnungsvolumen und dem Prüfumfang – den Treibern unten. Ecoinvent wird separat lizenziert, zum Durchreichpreis plus 20% Integrationsmarge, und nur verrechnet, wenn Ihre Methodik es verlangt.

Was Sie in der Spanne bewegt
Anzahl Gesellschaften
am stärksten
Breite der Scope-3-Kategorien
stark
Mitarbeitende (FTE)
moderat
Reasonable-Assurance-Workflow
moderat
Individuelles MSA · NET-60 · EU-Residenz
gering
Referenz · Q1 2026

Unser Auditor wollte Belege auf Rechnungszeilenebene, mit eingefrorenen Faktoren und einer Kette, die wir offline nachprüfen können. cobank hatte die Oberfläche bereit – unsere erste Sandbox-Periode war in neun Wochen versiegelt.

GC
Group Controller · CSRD-Wave-2-Interessent
paraphrasiert aus Erstgesprächen 2026
Procurement fragt

Fragen, die ein CFO vor der Unterschrift stellt.

Die, die in jedem Erstgespräch kommen. Fehlt Ihre, stellen Sie sie im Gespräch – es gibt keine SDR-Pipeline, durch die Sie zuerst müssten.

EU Omnibus I (Richtlinie 2026/470, in Kraft seit 18. März 2026) hat die Wave-2-Schwellen auf 1'000 FTE und 450 Mio. € Umsatz angehoben – beide müssen überschritten sein. Liegen Sie über beiden, gilt die CSRD-Pflicht: FY2027, erste Publikation 2028. Unter einer der beiden Schwellen decken die freiwilligen Tarife den Workflow zu einem Bruchteil des Preises ab.
Limited Assurance nach ISSA 5000 ist bis zur Überprüfung 2030 der EU-Boden; Reasonable Assurance folgt danach stufenweise. cobank unterstützt beide Abläufe auf demselben Hauptbuch: Dichtere Stichproben und erweiterte Testabdeckung greifen, sobald Ihr Auftragsschreiben es verlangt. Kein Re-Platforming, wenn der Standard anzieht.
In der Schweiz nicht. DEFRA, BAFU, GLEC und IPCC tragen die Standardmethodik – grosse Schweizer Konzerne wie Novartis, Swisscom und ABB zitieren in ihren publizierten Berichten staatlich publizierte Quellen derselben Art. Ecoinvent ist ein kundenseitig beschafftes Add-on für Fälle, in denen Ihr Prüfer es ausdrücklich verlangt – durchgereicht zum Selbstkostenpreis plus 20% Integrationsmarge.
Standardmässig in Schweizer Rechenzentren, EU-Residenz auf Anfrage. AES-256 im Ruhezustand, TLS 1.3 auf dem Transportweg. Postgres-Row-Level-Security isoliert die Daten jedes Kunden. Die DPA nach DSGVO Art. 28 wird vor dem Sandbox-Zugang unterzeichnet. Die Liste der Unterauftragsverarbeiter steht auf cobank.ai/subprocessors – Sie werden vor jeder Änderung benachrichtigt.
Beides ist heute nicht ausgestellt, und es läuft noch kein Zertifizierungsverfahren. Wir behaupten nicht, was nicht ausgestellt ist. SOC 2 Type I ist für Q4 2026 angepeilt, Type II danach, ISO 27001 anschliessend. Was es heute gibt: Schweizer Rechenzentren, AES-256 im Ruhezustand, TLS 1.3 auf dem Transportweg, Mandantenisolation auf Zeilenebene und ein hash-verkettetes Prüfprotokoll. Sicherheitszusammenfassung und Kontrolldokumentation gibt es unter NDA nach dem Erstgespräch.
Sie exportieren. Jede abgeschlossene Periode verlässt das System als versiegeltes Paket mit Perioden-Root-Hash, Positionen-Hauptbuch, eingefrorenen Faktoren und Verifikationsbericht. Kunden an unsere Infrastruktur zu ketten, kommt nicht infrage: Ihre versiegelten Perioden bleiben auf Ihrem eigenen Laptop nachprüfbar, ohne dass ein cobank-Dienst läuft.
Typische Gruppen: 10–14 Wochen vom Erstgespräch zum Jahresvertrag. Sandbox in Woche 2, bezahlter Pilot bis Woche 13, Produktion ab Woche 14. Die meisten Teams beginnen 12–18 Monate vor ihrem ersten Pflichtabschluss, damit der Pilot ein echtes Berichtsquartal abdeckt.
Ja. DPAs, individuelle Freistellungen, Security-Fragebögen (CAIQ, SIG, Ihre eigenen), Procurement-Formulare: alles Teil unseres Ablaufs. Nicht unterschreiben werden wir MSAs, die die Semantik der Prüfkette verändern wollen.

In drei Tagen zum umrissenen Pilotvorschlag.

Nennen Sie uns Ihren Umfang, Ihre Auditfirma und Ihre erste betroffene Periode – das Gründungsteam schreibt den Vorschlag. Keine SDR-Pipeline.

  • Tag 1Erstgespräch · 45 Min. · Gründungsteam
  • Tag 2Internes Scoping · Beispiel-Beweispaket wird zusammengestellt
  • Tag 3Schriftlicher Vorschlag · Sandbox-Zugang · Pilot-SoW
Anfrage · ENT-2026
Kein SDR-Ping. Das Gründungsteam antwortet.