kan jeg bruge de samme svar til næste spørgeskema fra en anden kunde

Ja, for identitetsspørgsmål næsten altid

Ja, for en stor del af hvert spørgeskema kan det samme svar bruges igen. Det gælder især for de faste basisoplysninger: statutarisk navn, CVR-nummer, etableringsadresse, sektor, antal ansatte og omsætning. Disse oplysninger er registreret i Erhvervsstyrelsens CVR og ændres ikke pr. kunde. Uanset om spørgsmålet kommer fra en bank, et forsikringsselskab eller en indkøbsafdeling, der spørger om bæredygtighed: virksomhedens registreringsnummer er svaret det samme overalt. Det samme gælder et spørgsmål om ansvarsforsikring eller om ISO 9001: det er ikke et øjebliksbillede, det er en status, som du fastsætter én gang og derefter genbruger, indtil den ændres.

For indholdsmæssige spørgsmål er situationen mere nuanceret. Et spørgsmål om ISO/IEC 27001 spørger i den ene liste kun, om certifikatet findes, i den anden efter specifikke kontrolforanstaltninger fra bilag A — for eksempel adgangskontrol eller hændelsesrespons. Et spørgsmål, der henviser til de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet, er mere præcist end et generelt spørgsmål om "cybersikkerhed", og svaret skal stemme overens med denne præcision. Det er det samme med bæredygtelighedslister: EFRAG VSME-basismodulet spørger lidt anderledes end en kunde, der selv har foretaget et udvalg fra CSRD-indikatorerne. Det underliggende faktum — har du politikken, har du foranstaltningen — forbliver det samme, men det spørgsmål, som svaret skal passe til, er anderledes. Derfor er genbrugelse grundlaget, og for hvert spørgsmål skal det kontrolleres, om spørgsmålet måler præcis det samme som den kontrol, der hører til det.

Hvorfor dette varierer pr. kilde

For identitetsoplysninger er det sådan, fordi Handelsregisterloven 2007 fastsætter disse oplysninger som ét fast sæt, uanset hvem der spørger. For de indholdsmæssige spørgsmål skyldes forskellen den kilde, som spørgeskemaet selv henviser til: de ti foranstaltninger i artikel 21, stk. 2 i Direktiv (EU) 2022/2555 er formuleret lidt anderledes end kontrolforanstaltningerne i bilag A til ISO/IEC 27001, og indikatorerne i EFRAG VSME-modulet følger igen et andet skema end Direktiv (EU) 2022/2464. Den samme underliggende praksis kan således forekomme i forskellige spørgsmål, med et lidt anderledes svar til følge.