imamo više podružnica moram li za svako poduzeće zasebno popuniti popis

Uglavnom po pravnoj osobi, ne po grupi

U većini slučajeva svako poduzeće popunjava upitnik odvojeno, jer zahtjevajući subjekt vrednuje pravnu osobu s kojom ima ugovor. Svako poduzeće ima naime vlastitu registraciju u trgovačkom registru, vlastiti registarski broj i obično vlastitu adresu poslovanja. Odgovor koji vrijedi za majku — na primjer o broju zaposlenih ili godišnjem prometu — ne vrijedi automatski za kćerku. Ako kćerka sama popuni popis kod svoje kupca, tada se primjenjuju njene vlastite brojke, ne brojke grupe.

Postoji jedno važno objašnjenje: pri CSRD-izvještavanju (Direktiva 2022/2464) i pri VSME-standardu EFRAG-a često se izvještava na razini grupe, sa konsolidiranim pregledom cijelog lanca kćerki. Ako kupac, dakle, posebno traži izvještavanje o održivosti prema CSRD-u ili VSME-u, tada odgovor može biti na razini grupe — provjeri tada traži li upitnik to eksplicitno, ili stanje pojedinog poduzeća. Pri pitanjima o zaštiti informacija (ISO/IEC 27001, NIS2) opseg je često upravo pri subjektu koji pruža uslugu, jer se radi o sustavima i procesima koji se zapravo provode u tom poduzeću. Jedan lanac-dosije sa odvojenim činjenicama po poduzeću je ovdje prikladan: za svaku kćerku odvojeno postaviš što je točno, a sustav za svaki upitnik koristi pravi set.

Zašto se to razlikuje po regulaciji

Zakon o trgovačkom registru iz 2007. registrira svaku poduzetnost odvojeno, s vlastitim brojem — to je polazište koje većina nabavnih portala prati. CSRD (Direktiva 2022/2464) i VSME-osnovni modul EFRAG-a poznaju, pak, konsolidiranu formu izvještavanja na razini grupe. NIS2 (Direktiva 2022/2555, članak 21 stavak 2) i ISO/IEC 27001 usmjereni su na organizaciju koja zapravo upravlja uslugom ili sustavom, što je obično pojedino poduzeće. Koja razina se primjenjuje, dakle, nije utvrđena u jednom zakonu, već proizlazi iz samog pitanja — pogledaj što se doslovno traži o sektor ili opsegu izvještavanja.