hvorfor modtager jeg spørgsmål, der ikke er relevante for min virksomhed

Ét format for alle kunder i kæden

Det skyldes næsten altid kilden til spørgeskemaet, ikke en forkert vurdering af dit firma. De fleste kunder køber deres spørgeskema hos en leverandør eller baserer det på en standard, som de derefter implementerer for hele kæden — fra den ene-mands virksomhed til multinationale virksomheder. VSME fra EFRAG er et godt eksempel på det: det grundmodul er udviklet til ikke-børsnoterede små og mellemstore virksomheder generelt, med CSRD'en (Direktiv 2022/2464) som baggrund, som den større kunde selv skal rapportere på og som kræver data fra hele kæden, herunder små leverandører, for hvilke dele af det pågældende spørgeskema ikke er relevante.

Du ser det samme mønster med NIS2 og ISO 27001. En kunde, der falder under Direktiv 2022/2555, skal kontrollere hos sine leverandører, om de ti foranstaltninger i artikel 21, stk. 2 er sikret — selv hvis dit firma ikke selv falder under det direktiv, og disse spørgsmål derfor strengt taget ikke er obligatoriske for dig. Noget lignende gælder for spørgsmål, der er direkte taget fra Bilag A til ISO/IEC 27001: en indkøbsafdeling overtager ofte hele bilaget, også de foranstaltninger, der ikke er relevant for din virksomhedsstørrelse eller tjeneste. Det er ikke en fejl fra kundens side, det er en afvejning mellem præcision og håndterbarlighed: ét spørgeskema for alle er lettere for kunden at vedligeholde end hundrede varianter.

Hvorfor formatet er opsat så bredt

De underliggende regler — CSRD'en, NIS2, VSME'en og ISO 27001 — er selv skrevet for en bred gruppe virksomheder og organisationer, ikke tilpasset en enkelt lille virksomhed. Hvis et spørgsmål virkelig ikke er relevant, kan det normalt løses med en kort forklaring; svardokumentet bevarer denne forklaring lige så godt som et positivt svar, sammen med basisoplysninger såsom den sektor, som virksomheden er aktiv i og antallet af medarbeidere, som ofte netop forklarer, hvorfor et spørgsmål er relevant eller ej.