dlaczego otrzymuję pytania, które nie są istotne dla mojej firmy

Jeden format dla wszystkich klientów w łańcuchu

Prawie zawsze wynika to ze źródła listy pytań, a nie z błędnej oceny Twojej firmy. Większość klientów kupuje swoją listę pytań u jednego dostawcy lub opiera się na jednym standardzie, a następnie wdraża ją dla całego łańcucha — od firmy jednoosobowej do multinacyjnego koncernu. VSME EFRAG jest tego dobrym przykładem: ten moduł podstawowy został opracowany dla niepublicznych małych i średnich przedsiębiorstw na ogół, z uwzględnieniem CSRD (Dyrektywa 2022/2464), którą większy klient musi sam raportować, a która wymaga danych z całego łańcucha, w tym od małych dostawców, dla których części tej listy pytań nie mają zastosowania.

Ten sam schemat widać przy NIS2 i ISO 27001. Klient objęty Dyrektywą 2022/2555 musi sprawdzić u swoich dostawców, czy dziesięć środków z artykułu 21 ustęp 2 jest zabezpieczonych — nawet jeśli Twoja firma sama nie podlega tej dyrektywie i pytania te nie są ściśle mówiąc dla Ciebie obowiązkowe. Coś podobnego dotyczy pytań bezpośrednio pochodzących z Załącznika A normy ISO/IEC 27001: dział zakupów często przejmuje cały załącznik, również środki, które nie dotyczą wielkości Twojej firmy lub usługi. To nie jest błąd klienta, jest to wybór między precyzją a zdolnością do zarządzania: jedna lista dla wszystkich jest dla klienta łatwiejsza w utrzymaniu niż sto wariantów.

Dlaczego format jest tak szeroko zakreślony

Przepisy leżące u podstaw — CSRD, NIS2, VSME i ISO 27001 — są napisane dla szerokiej grupy przedsiębiorstw i organizacji, a nie dostosowane do jednej małej firmy. Jeśli pytanie naprawdę nie ma zastosowania, zwykle można to rozwiązać krótkim wyjaśnieniem; dossier odpowiedzi przechowuje to wyjaśnienie równie dobrze jak odpowiedź pozytywną, wraz z danymi podstawowymi, takimi jak sektor, w którym przedsiębiorstwo operuje i liczbę pracowników", które często wyjaśniają, dlaczego pytanie jest lub nie jest istotne.