¿por qué recibo preguntas que no son relevantes para mi empresa

Un formato para todos los clientes de la cadena

Casi siempre se debe a la fuente del cuestionario, no a una evaluación errónea de tu empresa. La mayoría de los clientes compran su cuestionario a un único proveedor o lo basan en un estándar único, y lo implementan entonces para toda la cadena — desde la empresa unipersonal hasta la multinacional. La VSME de EFRAG es un buen ejemplo: ese módulo base fue construido para empresas pyme no cotizadas en general, con la CSRD (Directiva 2022/2464) como trasfondo, que el cliente más grande debe reportar él mismo y que solicita datos de toda la cadena, incluyendo pequeños proveedores para los que partes de ese cuestionario no aplican.

Ves el mismo patrón con NIS2 e ISO 27001. Un cliente que cae bajo la Directiva 2022/2555 debe verificar con sus proveedores si se garantizan las diez medidas del artículo 21 apartado 2 — incluso si tu empresa no cae bajo esa directiva y esas preguntas, estrictamente hablando, no son obligatorias para ti. Algo similar aplica a las preguntas que provienen literalmente del Anexo A de ISO/IEC 27001: un departamento de compras a menudo adopta todo el anexo, incluso las medidas que no corresponden al tamaño de tu empresa o al servicio que prestas. Esto no es un error del cliente, es una compensación entre precisión y mantenibilidad: un único formato para todos es más fácil de mantener para el cliente que cien variantes.

Por qué ese formato está tan ampliamente configurado

La normativa subyacente — la CSRD, NIS2, la VSME e ISO 27001 — está ella misma redactada para un amplio grupo de empresas y organizaciones, no adaptada a una pequeña empresa en particular. Si una pregunta realmente no aplica, normalmente puede resolverse con una breve explicación; el expediente de respuestas conserva esa explicación tan bien como una respuesta afirmativa, junto con datos básicos como el sector en el que opera la empresa y el número de empleados, que a menudo explican precisamente por qué una pregunta es relevante o no.