miks saan ma küsimusi, mis minu ettevõttele pole asjakohased

Üks vorming kõigile klientidele ahelas

See tuleneb peaaegu alati küsimustiku allikast, mitte teie ettevõtte valest hinnangust. Enamik kliente ostab oma küsimustiku ühelt tarnijalt või baseerib selle ühel standardil ja panevad selle seejärel kogu ahela jaoks kehtima — alates ühepersonifirmast kuni multinatsionaalini. EFRAG-i VSME on selle heaks näiteks: see baasmodul on ehitatud mittebörsil noteeritud väikeettevõtetele üldiselt, taustaga CSRD (Direktiiv 2022/2464), mida suurem klient ise peab teatama ja mis nõuab andmeid kogu ahelas, kaasa arvatud väikesed tarnijad, kellele selle küsimustiku osad ei kehti.

Sama mustrit näete NIS2 ja ISO 27001 puhul. Klient, kes kuulub Direktiivi 2022/2555 reguleeritavuse alla, peab kontrollima oma tarnijatest, kas artikli 21 lõike 2 kümme meetmet on tagatud — isegi kui teie ettevõte ennast selle direktiivi alla ei kuulu ja need küsimused seega teile rangelt võttes kohustuslikud ei ole. Midagi sarnast kehtib küsimuste kohta, mis otse ISO/IEC 27001 lisa A-st pärinevad: ostaotstarve osakond võtab sageli kogu lisa üle, ka need meetmed, mis teie ettevõtte suuruse või teenuse puhul ei kehti. See ei ole kliendi viga, vaid valik täpsuse ja hallatavuse vahel: üks nimekiri kõigile on kliendile lihtsam säilitada kui sada varianti.

Miks see vorming nii laialdaselt püstitatud on

Alusel olevad määrused — CSRD, NIS2, VSME ja ISO 27001 — on ise kirjutatud pea laiahaardeliselt rühma ettevõtete ja organisatsioonide jaoks, mitte ühe väikese ettevõtte jaoks kohandatud. Kui küsimus tõesti ei ole kohaldatav, on seda tavaliselt võimalik lühikese selgitusega lahendada; vastuste dokument säilitab selle selgituse sama hästi kui positiivset vastust, koos põhiandmetega, nagu sektor, milles ettevõte tegutseb ja töötajate arv, mis sageli just selgitavad, miks küsimus on asjakohane või ei ole.