mitä täytän, jos kysymys listalla ei koske minua

N.v.t. on oikea vain, jos kysymys todella ei sovi yhteen

"N.v.t." täytetään vain, jos kysymys koskee jotakin, joka ei esiinny säännöllisesti yrityksessäsi — ei siksi, että et tiedä vastausta tai sinulla ei ole todisteita saatavilla. Tämä ero on tärkeä, koska puolustava hankintatiimi tai auditoija lukee "n.v.t." tarkoitukselliseksi poistumiseksi, ja sinun on osattava selittää se. Kysymys tekoäly-järjestelmistä ei ole esimerkiksi todella n.v.t., jos yritykset eivät käytä niitä — mutta huomaa: käyttääkö yritys tekoäly-järjestelmiä palveluntarjoamisen sisällä? tulkitaan laajasti, myös ulkoisesti hankittu työkalu, jossa on tekoäly-komponentti, kuuluu usein siihen. Epävarmuuden tapauksessa "ei, ei sovellu pyydettyjen joukossa" on tarkempaa kuin pelkkä "n.v.t.".

Epävarmuustapaukset syntyvät erityisesti kysymyksistä, jotka tulevat suuremmasta kehikosta ja eivät sovi yksi-yhteen pk-yritysasteelle. EFRAG:n VSME-perusmoduuli on siinä selvästi: jotkut indikaattorit ovat relevantteja vain, jos yritys harjoittaa tiettyä toimintaa tai saavuttaa tietyn koon. Täytä sitten mieluummin lyhyt syy — "yrityksellä ei ole omaa ajoneuvokantaa", "toimintoa X ei suoriteta" — kuin vain nimike. Sama koskee kysymyksiä, jotka tulevat NIS2-direktiivin 21 artiklan 2 kohdan kymmenestä toimenpiteestä: jos toimenpide koskee toimitusketjun suojausta ja sinulla ei ole ulkoisia ICT-toimittajia pääsyllä järjestelmiin, se on perusteltu n.v.t., ei puuttuva vastaus.

Joissa tämä ero esiintyy lähteissä

VSME-perusmoduuli erottaa nimenomaisesti pakolliset ja ehdolliset indikaattorit: ehdollinen indikaattori on juuri se kategoria, johon "n.v.t." sopii, kunhan soveltuvuuden edellytys puuttuu. ISO/IEC 27001:ssä tämä periaate on virallisesti muotoiltu Annex A -hallintakeinoihin: menettelytapa, jota ei sovelleta, on perusteltava Statement of Applicability -dokumentissa perustelulla, ei vain rastittaa. Sama perustelun velvoite koskee myös identiteetin kysymyksiä — jos kysymys useiden maiden toimipaikoista ei sovi yhteen, se on jäljitettävissä: missä maissa yrityksellä on toimipaikka? ja lyhyt selitys todellisesta tilanteesta riittää.