miksi saan kysymyksiä, jotka eivät ole relevantteja yritykselleni

Yksi muoto kaikille ketjun asiakkaille

Tämä johtuu lähes aina kysymyslistan lähteestä, ei virheellisestä arviosta yrityksestäsi. Useimmat asiakkaat ostavat kysymyslistansa yhdeltä toimittajalta tai perustavat sen yhteen standardiin ja ottavat sen sitten käyttöön koko ketjussa – pienestä yksityisliikkeestä suureen monikansalliseen yhtiöön. EFRAG:n VSME on hyvä esimerkki: tämä perusmoduuli on rakennettu ei-pörssiin listatuille pk-yrityksille yleensä, ja taustalla on CSRD (direktiivi 2022/2464), jonka suuremman asiakkaan on itse raportoitava ja joka edellyttää tietoja koko ketjusta, mukaan lukien pienet toimittajat, joille osat kysymyslistasta eivät koske.

Sama kuvio näkyy NIS2:n ja ISO 27001:n kohdalla. Asiakas, johon direktiivi 2022/2555 soveltuu, joutuu tarkistamaan toimittajiltaan, ovatko artiklan 21 kohdan 2 kymmenen toimenpidettä varmistettu – vaikka yrityksesi ei kuuluisi itse kyseisen direktiivin piiriin ja kyseiset kysymykset eivät siis olisivat sinulle tiukasti ottaen pakollisia. Samanlainen tilanne koskee kysymyksiä, jotka on otettu suoraan ISO/IEC 27001:n liitteestä A: ostoyksikkö ottaa usein koko liitteen käyttöön, myös toimenpiteet, jotka eivät ole relevantit yrityksesi koon tai palvelun kannalta. Tämä ei ole asiakkaan virhe, vaan tasapaino tarkkuuden ja hallittavuuden välillä: yksi lista kaikille on asiakkaalle helpompi ylläpitää kuin sata varianttia.

Miksi kyseinen muoto on asetettu näin laajalle

Taustalla olevat säädökset – CSRD, NIS2, VSME ja ISO 27001 – on kirjoitettu itsessään laajalle yritys- ja organisaatioryhmälle, ne eivät ole sovitettu yhden pienelle yritykselle. Jos kysymys todella ei koske sinua, se voidaan yleensä ratkaista lyhyellä selityksellä; vastausdossier säilyttää selityksen yhtä hyvin kuin myöntävän vastauksen, sekä perustieto, kuten ala, jolla yritys toimii ja työntekijöiden lukumäärän, joka usein oikeastaan selittää, miksi kysymys on relevantti vai ei.