kan ik dezelfde antwoorden gebruiken voor de volgende vragenlijst van een andere klant

Ja, voor identiteitsvragen bijna altijd

Ja, voor een groot deel van elke vragenlijst kan hetzelfde antwoord terug. Dat geldt vooral voor de vaste basisgegevens: statutaire naam, KvK-nummer, vestigingsadres, sector, aantal medewerkers en omzet. Die gegevens liggen vast in het Handelsregister en veranderen niet per klant. Of de vraag nu van een bank komt, een verzekeraar of een inkoopafdeling die duurzaamheid uitvraagt: het registratienummer van de onderneming is overal hetzelfde antwoord. Datzelfde geldt voor een vraag over de aansprakelijkheidsverzekering of over ISO 9001: dat is geen momentopname, dat is een status die je één keer vastlegt en daarna hergebruikt totdat hij wijzigt.

Bij inhoudelijke vragen ligt dat genuanceerder. Een vraag over ISO/IEC 27001 vraagt in de ene lijst alleen of het certificaat er is, in de andere naar specifieke beheersmaatregelen uit bijlage A — bijvoorbeeld toegangsbeheer of incidentrespons. Een vraag die verwijst naar de tien maatregelen van artikel 21 lid 2 van de NIS2-richtlijn is preciezer dan een algemene vraag over "cyberveiligheid", en het antwoord moet op die precisie aansluiten. Bij duurzaamheidslijsten is het net zo: de VSME-basismodule van EFRAG vraagt net iets anders dan een klant die zelf een selectie heeft gemaakt uit de CSRD-indicatoren. Het onderliggende feit — heb je het beleid, heb je de maatregel — blijft hetzelfde, maar de vraag waar het antwoord op moet passen, verschilt. Daarom is hergebruik de basis, en is per vraag nagaan of de vraag exact hetzelfde meet de controle die erbij hoort.

Waarom dit per bron verschilt

Voor identiteitsgegevens is dat zo omdat de Handelsregisterwet 2007 die gegevens als één vaste set vastlegt, ongeacht wie ernaar vraagt. Voor de inhoudelijke vragen komt het verschil door de bron waarnaar de vragenlijst zelf verwijst: de tien maatregelen van artikel 21 lid 2 van Richtlijn (EU) 2022/2555 zijn iets anders geformuleerd dan de beheersmaatregelen van bijlage A bij ISO/IEC 27001, en de indicatoren van de EFRAG VSME-module volgen weer een andere indeling dan Richtlijn (EU) 2022/2464. Dezelfde onderliggende praktijk kan dus in verschillende vragen terugkomen, met een net iets ander antwoord tot gevolg.