on olemassa kysymys, johon ei ole tallennettu mitään vastausta, mitä nyt

Ei vastaavuutta dossierin kanssa: kolme syytä, kolme jatkotoimenpidettä

Niin käy, ja yleensä johtuu se johonkin seuraavista kolmesta asiasta. Ensinnäkin: kysymys on juuri standardisarjan ulkopuolella — esimerkiksi kysymys tietystä ISO 27001:n hallintotoimenpiteestä liitteessä A, kun taas dossieri kirjaa vain itse sertifikaatin eikä perustana olevia toimenpiteitä yksittäin. Toiseksi: kysymys liittyy moduuliin, jota ei ole vielä täytetty, kuten kysymys VSME-perusmoduulista energiankulutuksesta, kun ketjudossieri sisältää toistaiseksi vain identiteetti- ja laajuuskentät. Kolmanneksi: kysymys on asiakaskohtaisesti muotoiltu — oma määritelmä "kriittisestä toimittajasta" tai oma raja-arvo — ja se jää määritelmän mukaisesti jaetun dosserin ulkopuolelle, koska sitä ei koskaan räätälöidä yhden asiakkaan mukaisesti.

Järjestelmä jättää kyseisen kentän silloin tyhjäksi ja näyttää selkeän ilmoituksen siitä, että lähde puuttuu. Mitään ei koskaan täytetä automaattisesti rivin täydentämiseksi. Yrittäjä päättää itse: lisää vastaus manuaalisesti tätä yhtä lähettämistä varten tai palaa asiakkaalle kysymyksellä siitä, mitä tarkalleen tarkoitetaan. Jälkimmäinen on useammin oikeastaan oikeutettua kuin miltä tuntuu — kyselylomakkeet lainaavat säännöllisesti ohjeen kontekstista irrallaan, ja kysymys, joka viittaa "kymmeneen toimenpiteeseen" mainitsematta direktiivin (EU) 2022/2555 21 artiklan 2 kohtaa, ei ole toimittajalle jäljitettävissä konkreettiseen vastaukseen. Tunnistettujen aukkojen osalta ketjudosserin itsensä täyttäminen on kestävin reitti: ajattele yritys käyttää tekoälyjärjestelmiä tai onko olemassa jatkuvuussuunnitelmaa — kahta kenttää, jotka ilmestyvät yhä useampiin listoihin ja jotka, kun ne on kerran tallennettu, tulevat automaattisesti mukaan seuraavissa kahdessakymmenenssa kyselylomakkeessa.

Miksi ilman lähteistä ei näy ehdotusta

Järjestelmä ei koskaan ehdota vastausta, jota varten ketjudossierin ei ole perustietoa — se on rakennettu raja, ei väliaikainen rajoitus. CSRD-kysymyksessä (direktiivi (EU) 2022/2464), joka ylittää VSME-perusmoduulin kyvyn, tai NIS2-kysymyksessä, joka pyytää tiettyä ISO/IEC 27001:n liitteen A mukaista hallintotoimenpidettä, vaikka vain sertifikaattinumero on tallennettu, kenttä pysyy tyhjänä, kunnes tosiasia on lisätty.