asiakkaani haluaa todisteita vastausten tueksi kestävyyskysymyslistalla

Todisteet kuuluvat vastaukseen, ei erillään siitä

Pyynnön todisteista tarkoittaa yleensä sitä, että vastaus itsessään ei riitä: asiakas haluaa tarkistaa, mihin se perustuu. Identiteettiä koskevissa kysymyksissä se on usein yksinkertaista — rekisteröintinumero voidaan tarkistaa kaupparekisterista, joka on välittömästi todiste. EFRAG VSME -perusmoduulista tulevissa kysymyksissä tilanne on erilainen: siellä pyydetään usein taustalla olevaa asiakirjaa, kuten energialaskua kulutuksesta tai politiikkadokumenttia mainitusta toimenpiteestä. Jos asiakirjaa ei ole olemassa, rehellinen vastaus on, että todiste ei ole vielä käytettävissä — älä keksi todisteita, jotka eivät ole olemassa, äläkä muuta taustalla olevaa vastausta niin, että se sattumalta vastaisi sitä, mitä on olemassa.

Todisteiden pyytäminen vaatii myös tarkkuutta muodosta. "Johdon lausunto" on eri asia kuin "allekirjoitettu politiikkadokumentti", ja asiakas, joka erityisesti pyytää sertifikaattia — kuten ISO 9001 — tarkoittaa sertifikaattia itseään, ei sisäistä laatuprosessia, joka sisällöllisesti muistuttaa sitä. Jos pyydettyä asiakirjaa ei ole olemassa, "ei, ei vielä saatavilla" on täydellisempi ja kestävämpi vastaus kuin todisteen lataaminen, joka sanoo hieman eri kuin pyydettiin.

Mistä kysymys todisteista tulee

CSRD (Direktiivi (EU) 2022/2464) vaatii raportoivilta yrityksiltä perusteltua, todennettavaa tietoa, ja tämä odotus ulottuu toimittajille, joita pyydetään toimittamaan perusteita ketjussa. Kyberturvallisuusluetteloissa todisteiden pyytäminen voidaan usein jäljittää suoraan NIS2-direktiivin 21 artiklan 2 kappaleen kymmeneen toimenpiteeseen tai ISO/IEC 27001 -standardin liitteeseen A sisältyviin valvontatoimiin — molemmat vaativat osoitettavaa toimenpidettä, ei aikomusta.