meillä on useita tytäryhtiöitä minun täytettävä kysymyslista jokaiselle osakeyhtiölle erikseen

Yleensä jokaisen juridisen yksikön osalta, ei koko konsernin

Useimmissa tapauksissa jokainen osakeyhtiö täyttää kyselyn erikseen, koska kyselyä esittävä osapuoli tarkistaa juridisen yksikön, jonka kanssa sillä on sopimus. Jokaisella osakeyhtiöllä on nimittäin oma merkintä kaupparekisteriin, oma rekisteröintinumero ja yleensä oma toimipaikka. Vastaus, joka on oikea emoyhtiölle — esimerkiksi henkilöstön lukumäärästä tai vuosituotannosta — ei välttämättä ole oikea tytäryhtiölle. Jos tytäryhtiö täyttää kyselyn itse omansa asiakkaalle, niin siihen sovelletaan siten sen omia lukuja, ei konsernin lukuja.

On yksi tärkeä poikkeus: CSRD-raportoinnissa (Direktiivi 2022/2464) ja EFRAG:n VSME-standardissa raportoidaan usein konsernin tasolla konsolidoidulla katsauksella koko tytäryhtiöketjusta. Jos asiakas siis erityisesti kysyy kestävyyskehitysraportoinnista CSRD:n tai VSME:n mukaisesti, vastaus voi hyvinkin olla konsernin tasolla — tarkista silloin, onko kysely nimenomaisesti siitä vai yksittäisen osakeyhtiön tilanteesta. Tietoturvallisuutta koskevissa kysymyksissä (ISO/IEC 27001, NIS2) soveltamisala sijaitsee usein juuri palvelua tarjoavassa yksikössä, koska kyse on järjestelmistä ja prosesseista, jotka todellisuudessa toimivat kyseisessä osakeyhtiössä. Yksi ketju-asiakirja, jossa kukin tytäryhtiön erityiset tosiasiat on kuvattu, on tässä hyödyllinen: kirjaat erikseen jokaisen tytäryhtiön osalta, mikä on totta missäkin, ja järjestelmä käyttää jokaisessa kyselyssä oikeaa joukkoa.

Miksi tämä vaihtelee säännösten mukaan

Kaupparekisterilaki 2007 rekisteröi jokaisen yrityksen erikseen omalla numerolla — tämä on lähtökohta, jota useimmat ostoportaalit noudattavat. CSRD (Direktiivi 2022/2464) ja EFRAG:n VSME-perusmoduuli sen sijaan tunnistavat konsolidoidun raportointimuodon konsernin tasolla. NIS2 (Direktiivi 2022/2555, artiklaa 21 kohta 2) ja ISO/IEC 27001 sen sijaan keskittyvät organisaatioon, joka todellisuudessa hallitsee palvelua tai järjestelmää, mikä yleensä on yksittäinen osakeyhtiö. Mitä tasoa sovelletaan, ei siis ole kiinteästi määritelty yhdessä laissa, vaan se johtuu itse kysymyksestä — tarkista, mitä kirjaimellisesti pyydetään sektori tai raportoinnin soveltamisalasta.