ce completez dacă o întrebare de pe listă nu se aplică la mine

N.a. este corect doar dacă întrebarea nu se potrivește cu adevărat

"N.a." completezi numai dacă întrebarea se referă la ceva care nu apare structural în cadrul întreprinderii tale — nu dacă nu cunoști răspunsul sau nu ai dovada la îndemână. Această diferență este importantă, deoarece un team de achiziții defensiv sau un auditor citește "n.a." ca o excludere conștientă, și trebuie să poți explica acest lucru. O întrebare despre sisteme de IA este, de exemplu, într-adevăr n.a. dacă întreprinderea ta nu le utilizează — dar atenție: implementează întreprinderea sisteme de IA în cadrul serviciilor pe care le prestează? este interpretat pe scară largă, iar un instrument achiziționat extern cu o componentă de IA se încadrează adesea aici. În caz de îndoială, "nu, nu este aplicabil în cadrul domeniului de aplicare solicitat" este mai precis decât pur și simplu "n.a.".

Cazurile de îndoială apar mai ales cu întrebări care provin dintr-un cadru mai amplu și nu se adaptează unu-la-unu la scara IMM. Modulul de bază VSME al EFRAG este clar în privința acestui aspect: unii indicatori sunt relevanți doar dacă întreprinderea desfășoară o anumită activitate sau are o anumită dimensiune. Completează atunci mai bine pe scurt motivul — "întreprinderea nu are propriul ei parc auto", "activitatea X nu este desfășurată" — decât doar eticheta. Același lucru se aplică și întrebărilor care provin din cele zece măsuri din articolul 21 alineatul 2 din Directiva NIS2: dacă o măsură se referă la securitatea lanțului de aprovizionare și nu ai furnizori externi de TIC cu acces la sistemele tale, aceasta este un "n.a." bine justificat, nu un răspuns lipsă.

Unde această distincție se regăsește în surse

Modulul de bază VSME face o distincție explicită între indicatori obligatori și indicatori condițional aplicabili: un indicator condițional este exact categoria în care se potrivește "n.a.", cu condiția ca premisa de aplicabilitate să lipsească. În ISO/IEC 27001, acest principiu este formalizat în Anexa A — măsurile de control: o măsură care nu este aplicabilă trebuie să fie justificată în Declarația de aplicabilitate printr-un motiv, nu doar bifată. Aceeași obligație de justificare este utilă și pentru întrebări de identitate — dacă o întrebare despre sedii în mai multe țări nu se potrivește, aceasta poate fi urmărită în în care țări are întreprinderea sedii? și o scurtă explicație asupra situației de fapt este suficientă.