¿tienen todas nuestras sucursales un dossier conjunto o cada una el suyo?

Un expediente de cadena, múltiples perfiles de ubicación

La respuesta: el expediente funciona conjuntamente, pero no como un único depósito de respuestas para todos. En la práctica, se configura un expediente de cadena para toda la organización, y dentro de este se especifica por ubicación qué difiere. La dirección de ubicación de la empresa y los países donde la empresa tiene sucursales son la primera división: algunas listas de preguntas solicitan explícitamente la situación en una ubicación específica, no en el grupo en su conjunto.

Lo que sí se comparte: respuestas de gobernanza, el certificado ISO 27001 si se emitió a nivel de la persona jurídica, y las cifras CSRD/VSME si se reportan consolidadas. Lo que a menudo varía por ubicación: el número de empleados en esa ubicación, certificaciones locales, y a veces el alcance de las medidas de seguridad de la información si no todas las ubicaciones se encuentran dentro del mismo alcance ISO. Por lo tanto, se completa una vez la parte de ámbito de grupo, y se añade por ubicación una capa donde la lista de preguntas lo solicita específicamente.

Por qué existe esa diferencia: registro versus alcance de reporte

Esto se deriva de cómo el registro y la reporte están separados legalmente. La Ley de Registro Mercantil de 2007 registra las ubicaciones como unidades separadas bajo una empresa — de ahí que un cliente a veces pregunte por número de ubicación en lugar de por inscripción principal en el Registro Mercantil. CSRD (Directiva 2022/2464) y la norma VSME de EFRAG reportan precisamente a nivel de la entidad reportante, generalmente el grupo, por lo que esas cifras son por definición consolidadas y no pueden desglosarse por ubicación. NIS2 (Directiva 2022/2555, artículo 21 apartado 2) e ISO/IEC 27001 Anexo A dependen del alcance que la organización misma ha establecido para el sistema de gestión: si ese alcance cubre una ubicación, el certificado no se aplica automáticamente a las demás. Por eso la respuesta a esta pregunta no es uniforme «conjuntamente» o «independientemente», sino que depende de qué parte del expediente se examine.