il mio cliente vuole documenti di supporto alle risposte sul questionario di sostenibilità

Le prove supportano la risposta, non sono separate da essa

Una richiesta di prove significa di solito che la risposta da sola non è sufficiente: il cliente vuole poter verificare su cosa si basa. Per le domande di identità è spesso semplice — il numero di registrazione è verificabile tramite il Registro delle imprese, che è immediatamente la prova. Per le domande che provengono dal modello base EFRAG VSME è diverso: spesso viene richiesto un documento sottostante, come una fattura energetica per i consumi o un documento politico per una misura menzionata. Se quel documento non esiste, la risposta onesta è che la prova non è ancora disponibile — non inventare una prova che non esiste, e non adattare la risposta sottostante in modo che casualmente corrisponda a quello che c'è.

Le richieste di prove richiedono anche precisione sulla forma. "Una dichiarazione del management" è diversa da "un documento politico firmato", e un cliente che chiede specificamente un certificato — come nel caso di ISO 9001 — intende il certificato stesso, non una procedura di qualità interna che vi somiglia sostanzialmente. Se il documento richiesto non esiste, "no, non ancora disponibile" è una risposta più completa e sostenibile rispetto al caricamento di una prova che dice qualcosa di leggermente diverso da quanto richiesto.

Onde proviene la richiesta di prove

Il CSRD (Direttiva (UE) 2022/2464) richiede alle imprese che devono riferire informazioni supportate e verificabili, e tale aspettativa si estende ai fornitori che sono chiamati a fornire prove nella catena. Negli elenchi di sicurezza informatica la richiesta di prove è spesso direttamente riconducibile alle dieci misure dell'articolo 21, paragrafo secondo, della direttiva NIS2, o alle misure di controllo dell'Allegato A della norma ISO/IEC 27001 — entrambe richieste di una misura dimostrabile, non di un'intenzione.