Frågeformuläret frågar om vi har ett riskhanteringssystem, vad räknas som svar där

Formellt system eller bara en riskbedömning

Det varierar beroende på checklista, men i de flesta fall frågos det inte om ni någonsin har gjort en riskbedömning — utan om det görs på ett strukturerat, upprepningsbart sätt. Ett system i denna bemärkelse betyder: risker är identifierade, det finns ett sätt att bedöma dem (sannolikhet och påverkan), åtgärder är kopplade till dem, och de granskas regelbundet. Att sätta upp risker på en lista en gång på grund av denna checklista räknas vanligtvis inte som ett "system"; ett fast inslag i verksamheten — även om det bara är en årlig uppdatering av ett Excel-dokument med ägarskap per risk — räknas vanligtvis som ett.

Vid CSRD-liknande checklistor (härleddade från EFRAG VSME:s basmodul) efterfrågas riskhantering ofta specifikt för hållbarhetsämnen: klimat, mänskliga rättigheter i leveranskedjan, styrning. Om ni enbart har etablerat denna process för finansiell eller operativ risk och inte för hållbarhet, är "nej" ofta det ärliga svaret på denna specifika del, även om ni genomför riskhantering på andra områden. Vissa kunder ställer detta som en separat fråga, andra som en del av ett bredare block om vem som är med i styrelsen och hur den är sammansatt — styrning och riskhantering kombineras regelbundet i checklistor eftersom tillsynsstrukturen ofta också övervakar riskhanteringen.

Vad basmodulen för VSME och lagen mot penningtvätt kräver som bevis

EFRAG VSME:s basmodul ber om en beskrivning av policy och praxis, inte om ett certifierat system som ISO 31000 — en kort, faktisk beskrivning av hur risker identifieras och kontrolleras räcker i de flesta fall. Om frågan kommer från en bank eller försäkringsgivare är länken ofta till Lag (2017:630) om åtgärder mot penningtvätt och finansiering av terrorism: den förpliktar kunden själv till kundbedömning, och kunden vill därför ofta veta om er egen organisation hanterar risker — inklusive integritetrisker — på ett kontrollerbart sätt. Om ni saknar ett separat riskhanteringssystem men har lösa komponenter såsom en sanktionspolicy eller en rapporteringskanal, är det ofta mer exakt att nämna dessa lösa komponenter än att föreslå ett system som inte finns.