miksi yhden asiakkaan kohdalla on eri vastaus kuin toisella, vaikka kysymys on sama

Eri vastaus samaan kysymykseen ei yleensä ole virhe

Kaksi asiakasta voivat esittää täsmälleen saman kysymyksen ja silti saada ketjutiedostosta eri vastauksen — ja se voi olla täysin oikein. Kysymys itsessään on nimittäin usein epäidenttinen näyttävä. Asiakas A kysyy esimerkiksi ISO/IEC 27001 -toimenpiteistä toimittajien arviointiyhteydessä, asiakas B esittää täsmälleen saman kysymyksen, mutta tarkoittaa NIS2-direktiivin 21. artiklan 2. kohdan kymmenen toimenpidettä. Molemmat kysymykset voivat olla muotoiltu portaalissa muodossa "kuvaile tietoturvatoimenpiteitäsi", mutta taustalla oleva kehikko — ja siten ketjutiedostosta haettava asianmukainen vastaus — on erilainen.

Toinen selitys on soveltamisala tai vertailuajankohta. Tiedosto sisältää esimerkiksi työntekijöiden lukumäärän tai maat, joissa organisaatiolla on toimipaikat, ja ne voivat muuttua kahden täyttökerran välillä. Katso tämäntyyppisiä lähdetietoja kuinka monella työntekijällä yrityksellä on ja mihin maihin yrityksellä on toimipaikka — jos asiakas kysyy puoli vuotta myöhemmin ja tiedosto on päivitetty, eri vastaus ei ole epäjohdonmukaisuus vaan päivitys. Myös raportointikehikon ero on merkitystä: EFRAG:in vapaaehtoinen VSME-perusmoduuli vaatii usein vähemmän yksityiskohtaisesti kuin mitä asiakas tarvitsee CSRD:n (Direktiivi 2022/2464) nojalla, joten sama aihe voidaan vastata lyhyemmällä tai laajemmalla vastauksella ilman, että kumpaakaan olisi virheellinen.

Miksi tämä johtuu taustalla olevasta kehikosta, ei tiedostosta

Järjestelmä täyttää jokaiselle kysymykselle vastauksen, joka sopii kehikkoon, jota kyseinen asiakas käyttää — ISO/IEC 27001 Annex A, NIS2:n 21. artiklan 2. kohdan kymmenen toimenpidettä tai VSME-moduuli — ja tämä kehikko määrittää vastauksen laajuuden, ei tiedoston itsensä valinta. Epävarmuuden tapauksessa on hyödyllistä verrata asiakkaan portaalissa olevaa kysymystä viitattavaan standardiin ja tarkistaa, vastaus sopii siihen.