proč dostávám otázky, které nejsou relevantní pro můj podnik

Jeden formát pro všechny zákazníky v řetězci

To téměř vždy vychází ze zdroje dotazníku, nikoli ze špatného posouzení vaší firmy. Většina zákazníků si svůj dotazník kupuje u jednoho dodavatele, nebo ho založí na jedné normě a pak ho zavedou pro celý řetězec — od malé firmy až po nadnárodní korporaci. VSME od EFRAG je v tom dobrým příkladem: tento základní modul byl postaven pro nezajišťované malé a střední podniky všeobecně, na pozadí CSRD (Směrnice 2022/2464), kterou musí sám hlásit větší zákazník a která vyžaduje údaje z celého řetězce, včetně malých dodavatelů, pro které části tohoto dotazníku nejsou relevantní.

Stejný vzor vidíte u NIS2 a ISO 27001. Zákazník, který podléhá Směrnici 2022/2555, musí u svých dodavatelů ověřit, zda je zajištěno deset opatření článku 21 odstavce 2 — i když vaše firma sama pod tuto směrnici nepadá a tyto otázky jsou tedy přísně vzato pro vás povinné. Něco podobného platí pro otázky, které doslova pocházejí z přílohy A normy ISO/IEC 27001: nákupní oddělení si často vezme celou přílohu, včetně opatření, která nejsou relevantní pro vaši velikost podniku nebo službu. Není to chyba zákazníka, jde o vyvážení mezi přesností a zvladatelností: jeden dotazník pro všechny je pro zákazníka snadnější udržovat než stovka variant.

Proč je tento formát nastaven tak široko

Základní právní předpisy — CSRD, NIS2, VSME a ISO 27001 — jsou samy psány pro širší skupinu podniků a organizací, nejsou přizpůsobeny jedné malé firmě. Pokud se otázka opravdu nevztahuje na vás, lze to obvykle vyřešit krátkou vysvětlivkou; soubor odpovědí si uchovává tuto vysvětlivku stejně dobře jako kladnou odpověď, spolu se základními údaji jako je sektor, ve kterém je podnik činný a počet zaměstnanců, které často vysvětlují, proč je otázka relevantní nebo ne.