Wer in unserem Unternehmen muss die Antworten genehmigen, bevor wir einreichen?

Wer unterzeichnet, bestimmt das Unternehmen selbst, nicht das System

Unser System schlägt nur Antworten aus der Lieferkettendatei vor; die Bestätigung für jede Antwort ist eine Entscheidung des Kunden, und wir schreiben nicht vor, wer dies intern tun muss. Bei einem Unternehmen setzt der Qualitätsmanager das Häkchen bei einer ISO-Frage und der CISO unterzeichnet bei einer Frage zur Informationssicherheit; bei einem kleineren Unternehmen macht eine Person alles. Das, was Ihr Kunde fragt, bezieht sich nämlich selten auf ein einzelnes Gebiet: eine Frageliste vermischt oft faktische Unternehmensdaten mit inhaltlichen Bewertungen, und das erfordert nicht immer den gleichen Bestätiger.

Die Unterscheidung, die tatsächlich relevant ist: bei einer Tatsache wie die Registrierungsnummer, unter der das Unternehmen eingetragen ist, ist die Bestätigung vor allem eine Überprüfung, ob die Datei korrekt ist. Bei einer Frage, die auf die zehn Maßnahmen von Artikel 21 Absatz 2 der NIS2-Richtlinie oder auf die Kontrollmaßnahmen aus Anlage A der ISO/IEC 27001 zurückgreift, bestätigt die unterzeichnende Person faktisch, dass die zugrunde liegende Maßnahme tatsächlich durchgeführt wurde — das ist eine andere Verantwortung als das Abtippen einer Adresse. Wer diese interne Vollmacht hat, regelt das Unternehmen selbst; das System registriert nur, wer zu welchem Zeitpunkt welche Antwort bestätigt hat.

Woher kommt diese Trennung zwischen Vorschlag und Bestätigung

Dass wir vorschlagen und der Kunde bestätigt, folgt aus dem Grundsatz, dass bei uns keine Bewertung, Punktevergabe oder Genehmigung stattfindet: jede Antwort, die das Portal des Kunden erreicht, wurde vom Kunden selbst genehmigt. Bei Fragen, die aus dem EFRAG-VSME-Basismodul stammen — wie denen zu Mitarbeiterzahlen oder Niederlassungsländern — liegen die Quelldaten oft bereits in der Lieferkettendatei fest, beispielsweise bei der Anzahl der Mitarbeiter des Unternehmens oder den Ländern, in denen das Unternehmen Niederlassungen hat; die Bestätigung bedeutet dort vor allem zu überprüfen, dass die Datei aktuell ist. Bei Fragen, die Verpflichtungen aus der CSRD-Richtlinie (2022/2464) oder die NIS2-Maßnahmen betreffen, ist die Bestätigung inhaltlich gewichtiger, und genau deshalb schreibt die Plattform keine Rolle vor: diese Bewertung ist Sache des Unternehmens, nicht des Tools, das die Antwort vorschlägt.