asiakas pyytää todisteita vastausten tueksi kysymyslistalla

Todiste liittyy vastaustyypiin

Mitä toimitat, riippuu siitä, mitä tarkalleen kysytään: tosiasiallinen tieto, politiikkavalinta tai osoitettavissa oleva toimenpide. Henkilöllisyyteen ja laajuuteen liittyville kysymyksille — lakisääteinen nimi, rekisteröintinumero tai työntekijöiden lukumäärän — todiste on yksinkertainen: Kaupparekisterista otettu otteeksi riittää, koska nämä tiedot on lain nojalla kirjattu sinne. ISO 27001 -kysymyksen osalta tilanne on erilainen: usein ei kysytä koko johtamisjärjestelmästä, vaan itse sertifikaatista tai ilmoituksesta, mitkä Liitteen A toimenpiteet on otettu käyttöön. NIS2-kysymyksissä artiklan 21 kohdan 2 osalta todiste on yleensä kuvaus kullakin toimenpiteellä — esimerkiksi kuinka poikkeamien käsittely tai pääsynvalvonta on järjestetty — eikä erillinen sertifikaatti, sillä NIS2:lla ei ole omaa sertifiointijärjestelmää.

Kestävyyskysymyksissä, jotka tulevat VSME-perusmoduulista tai CSRD:stä, "todiste" ei yleensä ole erillinen asiakirja vaan luvun taustalla oleva laskelma tai lähde: energiasopimus kulutuksen takana, toimittajaluettelo ketjua koskevan väitteen takana. Jos sinulla ei ole kysyttyä todistetta, rehellisesti ottaen paras vastaus on asettaa vastaus "ei" tai "ei sovellettavissa" sen sijaan, että toimittaisit asiakirjaa, joka ei vastaa kysyttyä — järjestelmä ei tästä syystä koskaan ehdota "kyllä"-vastausta ilman, että dossieissa on siihen liittyvää lähdettä.

Mistä todisteluvelvollisuus kysymyksittäin tulee

Mikä todiste on looginen, noudattaa kysymyksen alkuperää: Kaupparekisterilaki 2007 perusasioille, EFRAG VSME ja direktiivi (EU) 2022/2464 kestävyysluvuille, ISO/IEC 27001 Liite A tietoturvatoimenpiteille ja direktiivin (EU) 2022/2555 artiklan 21 kohdan 2 kymmenen NIS2-toimenpiteelle. Jokaisella lähteellä on oma todistelajinsa; ei ole kattavaa normikokoelmaa, joka määrittäisi, mikä on "riittävä todiste" kaikille kysymysluetteloille yhdessä.