voinko käyttää samoja vastauksia seuraavalle toiselta asiakkaalta tulevalle kysymyslistalle

Kyllä, identiteetin tarkastamiseen melkein aina

Kyllä, suurelta osin jokaisen kyselyn kohdalla voidaan käyttää samaa vastausta uudelleen. Tämä koskee erityisesti pysyviä perustietoja: lakisääteinen nimi, KvK-numero, kotipaikan osoite, toimiala, työntekijöiden lukumäärä ja liikevaihto. Nämä tiedot on määritelty kaupparekisteriin ja ne eivät muutu asiakkaittain. Riippumatta siitä, perustuuko kysymys pankkiin, vakuutusyhtiöön vai kestävyyskysymyksiä esittävään ostoosastoon, yrityksen rekisterinumero on sama vastaus kaikkialla. Sama pätee kysymykseen vastuuvakuutuksesta tai ISO 9001 -sertifikaatista: se ei ole hetkellinen tilannekuva, vaan status, jonka määrität kerran ja käytät sitten uudelleen, kunnes se muuttuu.

Sisällöllisten kysymysten kohdalla tilanne on hieman vivahteikkaampi. ISO/IEC 27001 -kysymys kysyy yhdessä luettelossa vain, onko sertifikaatti olemassa, kun taas toisessa pyydetään tietystä liitteen A hallintamenettelyistä – esimerkiksi pääsynvalvonnasta tai häiriötapauksiin reagoinnista. Kysymys, joka viittaa NIS2-direktiivin 21 artiklan 2 kappaleen kymmeneen toimenpiteeseen, on tarkempi kuin yleinen kysymys "kyberturvallisuudesta", ja vastauksen on vastattava tätä tarkkuutta. Kestävyyskysymysten kohdalla tilanne on samanlainen: EFRAG:n VSME-perusmoduuli kysyy hieman eri tavalla kuin asiakas, joka on tehnyt oman valinnan CSRD-indikaattoreista. Taustalla oleva tosiasia – onko sinulla käytäntö, onko sinulla toimenpide – pysyy samana, mutta kysymys, johon vastauksen on sovittava, vaihtelee. Siksi hergebruik on perusta, ja kunkin kysymyksen kohdalla on tarkistettava, mitä kysymys mittaa tarkalleen ja mihin valvontaan se liittyy.

Miksi tämä vaihtelee lähteittäin

Identiteetin tarkastamisen osalta näin on siksi, että kaupparekisterilaki 2007 määrittelee nämä tiedot yhtenä kiinteänä sarjana riippumatta siitä, kuka niitä kysyy. Sisällöllisten kysymysten ero johtuu lähteestä, johon kysymys itse viittaa: direktiivin (EU) 2022/2555 21 artiklan 2 kappaleen kymmenen toimenpidettä on muotoiltu hieman eri tavalla kuin ISO/IEC 27001:n liitteen A hallintamenettelyt, ja EFRAG:n VSME-moduulin indikaattorit noudattavat jälleen erilaista luokittelua kuin direktiivi (EU) 2022/2464. Sama taustalla oleva käytäntö voi siis esiintyä eri kysymyksissä, mikä johtaa hieman erilaiseen vastaukseen.