varje kund begär sitt eget format – kan det här systemet hantera det

Ett kedjedossier, varje format sin egen frågeuppsättning

Ja, systemet kan hantera det — det är precis därför det finns ett kedjedossier istället för ett arkiv med ifyllda listor. Banken ställer frågan om antal anställda på ett annat sätt än försäkringsgivaren, och hållbarhetslistorna från kund A grupperar frågor på ett annat sätt än de från kund B. Men under alla dessa format finns vanligtvis samma uppsättning fakta: antalet anställda, de länder där företaget har verksamhetsstäder, eller om det finns ett ISO 9001-certifikat. Systemet känner igen frågan i kundens format och kopplar den till rätt faktum i dossieren, oavsett hur frågan exakt är formulerad.

Det som spelar roll: ju mer specifik frågan är, desto mindre automatisk är kopplingen. "Har ni en informationssäkerhetspolicy" är en annan nivå än "vilka av kontrollåtgärderna i Annex A av ISO/IEC 27001 är implementerade" — det senare kräver ett dossier som är ordnat på den detaljnivån, inte bara en ja/nej-flagga. Detsamma gäller för de tio åtgärderna i artikel 21 stycke 2 i NIS2-direktivet: om en kund vill ha bevis för varje åtgärd, måste dossieren kunna erbjuda något för varje åtgärd, inte bara en allmän förklaring. Systemet föreslår då vad som passar; bekräftelse per svar återstår för kunden.

Igenkänning per fråga, inte per format

Kopplingen fungerar på nivån för den enskilda frågan, inte på nivån för hela listan — det är nödvändigt eftersom inga två kundformat är identiska, inte ens inom samma standard. En fråga om EFRAG VSME-basmodulen kan i ett kunds format vara ett öppet textfält och i ett annat kundsformat en separat ja/nej-fråga per indikator; dossieren levererar i båda fallen samma underliggande faktum, bara presenterat på olika sätt. Där ett format frågar efter något som inte finns i dossieren — till exempel en detalj som ännu inte har fastställts, såsom eller huruvida företaget använder AI-system — föreslår systemet inget svar, för det finns ingen källa att peka på.