min kunde vil have dokumentation til svarene på bæredygtighedslisten

Bevis hører til svaret, ikke separat fra det

Et spørgsmål om bevis betyder normalt, at svaret i sig selv ikke er tilstrækkeligt: kunden ønsker at kunne kontrollere, hvad det er baseret på. Ved identitetsspørgsmål er det ofte enkelt — registreringsnummeret kan kontrolleres via Handelsregistret, som er det øjeblikkelige bevis. Ved spørgsmål, der stammer fra EFRAG VSME-grundmodulet, er det anderledes: der bliver ofte spurgt til et underliggende dokument, såsom en energiregning for forbruget eller et politikdokument for en nævnt foranstaltning. Hvis dette dokument ikke findes, er det ærlige svar, at beviset endnu ikke eksisterer — ikke at opfinde et bevis, der ikke findes, og ikke at tilpasse det underliggende svar, så det tilfældigvis stemmer overens med det, der er til stede.

Bevisspørgsmål stiller også krav til præcision vedr. formen. "En erklæring fra ledelsen" er noget helt tredje end "et underskrevet politikdokument", og en kunde, der specifikt anmoder om et certifikat — såsom ved ISO 9001 — betyder selve certifikatet, ikke en intern kvalitetsprocedure, som i indholdet ligner det. Hvis det ønskede dokument ikke eksisterer, er "nej, endnu ikke til stede" et mere fuldstændigt og mere holdbart svar end at uploade et bevis, som siger lige lidt andet end det, der blev spurgt om.

Hvor spørgsmålet om bevis kommer fra

CSRD (Direktiv (EU) 2022/2464) kræver, at rapporterende virksomheder har underbygget, verificerbar information, og denne forventning mærkes også blandt leverandører, som bliver spurgt om bevisføring i kæden. Ved cybersikkerhedsspørgsmål er spørgsmålet om bevis ofte direkte at henfører til de ti foranstaltninger i artikel 21, stk. 2, i NIS2-direktivet eller til kontrolforanstaltningerne i tillæg A til ISO/IEC 27001 — begge dele spørgsmål om en påviselig foranstaltning, ikke en hensigt.