spørgeskemaet spørger, om vi har et risikostyrringssystem, hvad tæller som svar der

Formelt system eller kun en risikovurdering

Det varierer fra spørgeskema til spørgeskema, men i de fleste tilfælde bliver der ikke spurgt, om I nogensinde har foretaget en risikovurdering — der bliver spurgt, om det sker på en struktureret, gentagelig måde. Et system i denne forstand betyder: risici er identificeret, der er en metode til at vurdere dem (sandsynlighed og konsekvens), der er tilknyttet foranstaltninger, og der foretages periodisk gennemgang. At sætte risici på en liste én gang som følge af dette spørgeskema tæller normalt ikke som et "system"; en fast del af forretningsdriften — selv hvis det blot er en årlig opdatering af et Excel-ark med ejerskab pr. risiko — tæller normalt vel.

I CSRD-lignende spørgeskemaer (udledt fra EFRAG VSME's basismodul) bliver risikostyring ofte spurgt specifikt for bæredygtighedsemner: klima, menneskerettigheder i værdikæden, governance. Hvis I kun har etableret denne proces for finansiel eller operationel risiko og ikke for bæredygtighed, er "nej" ofte det ærlige svar på DEN specifikke del, selv hvis I ellers helt bestemt udfører risikostyring. Nogle kunder stiller dette som et selvstændigt spørgsmål, andre som en del af en bredere blok om hvem der sidder i bestyrelsen, og hvordan den er sammensat — governance og risikostyring bliver regelmæssigt kombineret i spørgeskemaer, fordi tilsynsstrukturen ofte også overvåger risikostyringen.

Hvad basismodulet til VSME og loven mod hvidvaskning kræver som dokumentation

EFRAG VSME's basismodul spørger efter en beskrivelse af politikker og praksis, ikke efter et certificeret system som ISO 31000 — en kort, faktisk beskrivelse af hvordan risici identificeres og håndteres er tilstrækkelig i de fleste tilfælde. Kommer spørgsmålet fra en bank eller forsikringsselskab, er forbindelsen ofte til Lov om forebyggelse af hvidvaskning og finansiering af terrorisme: den forpligter kunden selv til at foretage kundedue diligence, og kunden ønsker derfor ofte at vide, om jeres egen organisation har håndterbare risici — herunder integritetsrisici. Hvis I ikke har et særskilt risicomanagementsystem, men kun enkelte elementer som en sanktionspolitik eller en whistleblower-kanal, er det ofte mere nøjagtigt at nævne disse enkelte elementer end at foreslå et system, der ikke findes.