jeder Kunde hat einen anderen Fragebogen, wie vermeide ich doppelte Arbeit

Dieselbe Frage kommt in vier Verkleidungen zurück

Die Bank nennt es "Lieferantenrisiko", der Kunde in der Automobilindustrie nennt es "supply chain due diligence", der Versicherer nennt es "Unterauftragnehmerrichtlinie" — und doch fragen alle drei nach demselben: hat das Unternehmen eine Haftpflichtversicherung, und wer ist der Geschäftsführer. Die Fragelisten unterscheiden sich in der Formulierung, Reihenfolge und manchmal in der Sprache, aber das zugrundeliegende Faktum ist klein. Wer pro Liste von vorne beginnt, macht in Wirklichkeit immer wieder dieselbe Recherche über: der Firmenbezeichnung des Unternehmens nachschlagen, es Registrierungsnummer heranziehen, prüfen ob es ISO 9001-Zertifikat noch gültig ist.

Übersicht entsteht nicht durch ein besseres Tabellenkalkulationsblatt pro Kunde, sondern durch eine Basisdatei pro Fakt, unabhängig davon, welcher Kunde danach fragt. Eine Änderung — eine neue Betriebsstätte, ein verlängertes Zertifikat, ein anderer Umsatz nach dem Geschäftsjahr — wirkt sich dann automatisch auf jede Liste aus, die diesen Fakt nutzt, anstatt dass jemand manuell prüfen muss, welche der dreißig Dokumente noch die alte Adresse enthalten. Supplia arbeitet nach diesem Prinzip: eine Lieferkettendatei mit den Fakten, und für jede eingehende Liste ein Vorschlag, welche Antwort zu welcher Frage passt. Der Unternehmer bestätigt, ändert oder lehnt ab — nichts wird automatisch übermittelt und nichts wird automatisch "wahr" erklärt.

Warum die Frage immer wieder denselben Fakt trifft

Dass unterschiedliche Rahmenwerke nach denselben zugrundeliegenden Daten fragen, folgt daraus, wie sie aufgebaut sind: das EFRAG VSME-Basismodul für nicht börsennotierte KMU und der Anhang der Richtlinie (EU) 2022/2464 (CSRD) arbeiten mit vergleichbaren Kategorien — Identität, Größe, Standorte — die auch in Bankfragelisten und Einkaufsbedingungen zurückkommen. Bei Cyberfragelisten ist das genauso zu sehen: Sowohl die Maßnahmen des Anhangs A von ISO/IEC 27001 als auch die zehn Maßnahmen von Artikel 21 Absatz 2 der Richtlinie (EU) 2022/2555 (NIS2) benennen Themen wie Zugriffskontrolle und Incidentmanagement, jede in ihrer eigenen Ausdrucksweise aber über dasselbe Faktum. Wer einmal pro Fakt festlegt, was wo steht, muss diesen Zusammenhang nicht jedes Mal neu erkennen.