mój klient chce załączników do odpowiedzi na ankiecie dotyczącej zrównoważonego rozwoju

Dokumenty potwierdzające należą do odpowiedzi, nie oddzielnie od niej

Prośba o dokumenty potwierdzające zwykle oznacza, że odpowiedź sama w sobie nie wystarczy: klient chce móc sprawdzić, na czym się opiera. W przypadku pytań dotyczących tożsamości jest to często proste — numer rejestracyjny można sprawdzić za pośrednictwem rejestru handlowego, co stanowi natychmiast dokument potwierdzający. W przypadku pytań pochodzących z podstawowego modułu EFRAG VSME jest to inne: tam często wymagany jest dokument źródłowy, taki jak rachunek za energię dla zużycia lub dokument polityki dla wskazanego działania. Jeśli taki dokument nie istnieje, szczerą odpowiedzią jest to, że dokument potwierdzający jeszcze nie istnieje — nie wymyślać dokumentu potwierdzającego, który nie istnieje, i nie zmieniać leżącej u podstaw odpowiedzi, aby przypadkowo zgadzała się z tym, co istnieje.

Prośby o dokumenty potwierdzające wymagają również precyzji co do formy. "Oświadczenie kierownictwa" to coś innego niż "podpisany dokument polityki", a klient, który konkretnie pyta o certifikat — taki jak ISO 9001 — ma na myśli sam certifikat, nie wewnętrzną procedurę kontroli jakości, która jest do niego treściowo podobna. Jeśli wymagany dokument nie istnieje, "nie, jeszcze nie jest dostępny" to pełniejsza i bardziej wiarygodna odpowiedź niż przesłanie dokumentu potwierdzającego, który mówi coś innego niż to, co zostało poproszone.

Skąd pochodzi prośba o dowód

Dyrektywa CSRD (Dyrektywa (UE) 2022/2464) wymaga od jednostek sprawozdawczych informacji uzasadnionych i weryfikowalnych, a to oczekiwanie przenosi się na dostawców, którzy są pytani o dowód w łańcuchu. Na listach bezpieczeństwa cybernetycznego prośba o dowód jest często bezpośrednio odnoszona do dziesięciu środków z artykułu 21 ust. 2 dyrektywy NIS2 lub do środków kontroli zawartych w Załączniku A normy ISO/IEC 27001 — zarówno pytania dotyczące mierzalnego działania, a nie zamiaru.