Mají všechny naše pobočky jeden společný dossier nebo každá svůj vlastní

Jeden spis řetězce, více profilů provozovny

Odpověď: spis funguje společně, ale ne jako jeden soubor odpovědí pro všechny. V praxi vytvoříte jeden spis řetězce pro celou organizaci a v něm na každou provozovnu stanovíte, co se liší. Adresa provozovny podniku a zeměmi, kde má podnik pobočky jsou přitom prvním rozdělením: některé seznamy otázek výslovně požadují situaci na jednom místě, ne na skupinu jako celek.

Co se opravdu sdílí: odpovědi na otázky týkající se řízení, certifikát ISO 27001, je-li vydán na úrovni právnické osoby, a údaje CSRD/VSME v případě, že jsou hlášeny konsolidovaně. Co se často liší podle jednotlivých poboček: počet zaměstnanců na daném místě, místní certifikace a někdy rozsah opatření v oblasti bezpečnosti informací, pokud ne všechny pobočky spadají do stejného rozsahu ISO. Vyplňujete tedy jedenkrát část týkající se celého koncernu a na každou pobočku přidáte jednu vrstvu, kterou se dotazník v daném místě konkrétně dotazuje.

Důvod tohoto rozdílu: rozsah registrace versus rozsah hlášení

To vyplývá z toho, jak jsou registrace a hlášení právně odděleny. Zákon o obchodním rejstříku 2007 registruje místa podnikání jako samostatné jednotky v rámci jednoho podniku — proto zákazník někdy žádá data podle čísla místa podnikání místo podle hlavní registrace v obchodním rejstříku. CSRD (Směrnice 2022/2464) a standard VSME od EFRAG hlásí data na úrovni hlášené jednotky, obvykle skupiny, takže tyto údaje jsou ze své podstaty konsolidované a nelze je rozdělit podle jednotlivých míst podnikání. NIS2 (Směrnice 2022/2555, článek 21 odstavec 2) a ISO/IEC 27001 Příloha A závisí na rozsahu, který si sám subjekt určil pro svůj systém řízení: pokud se tento rozsah vztahuje pouze na jedno místo podnikání, certifikát se automaticky nevztahuje na ostatní. Proto odpověď na tuto otázku není jednotně "společně" nebo "zvlášť", ale závisí na tom, kterou část spisu si prohlížíte.