con quale frequenza devo mantenere aggiornato il fascicolo

L'aggiornamento ha un ritmo diverso per ogni sezione

Non esiste una frequenza di aggiornamento fissa per l'intero fascicolo della catena: ogni sezione segue il ritmo della fonte sottostante. I dati del Registro delle Imprese — nome, forma giuridica, indirizzo della sede — cambiano solo se l'impresa stessa apporta modifiche, e in questo caso l'aggiornamento è soprattutto una verifica che la modifica della Camera di Commercio sia stata registrata. Ciò vale ad esempio per l'indirizzo della sede dell'impresa e per il numero di registrazione sotto cui l'azienda è iscritta: questi dati cambiano raramente, ma quando accade, il fascicolo risulta obsoleto fino a quel momento.

Altre sezioni invece hanno un ritmo naturale. Il fatturato e il numero di dipendenti di solito si allineano annualmente con il bilancio — rilevante per il fatturato annuale dell'azienda e per il numero di dipendenti. Un certificato ISO 27001 ha una data di validità determinata dall'organismo di certificazione, e dopo una ricertificazione o un audit di sorveglianza questa è l'occasione per rivedere nuovamente le misure dell'Allegato A. Le dieci misure dell'articolo 21 paragrafo 2 NIS2 e una relazione VSME non hanno una data di ripristino legale nel fascicolo stesso, ma nella pratica vengono riviste annualmente perché i dati sottostanti e le valutazioni dei rischi diventano obsoleti dopo un anno. Chi compila per la prima volta un questionario di sostenibilità nell'ambito di applicazione CSRD, farebbe bene a collegare questa sezione all'esercizio su cui viene redatta la relazione.

Da dove proviene questo ritmo

Nessuna delle cinque fonti prescrive un termine di aggiornamento per il fascicolo della catena; il Registro delle Imprese 2007 obbliga tuttavia a comunicare le modifiche dei dati legali, e la CSRD (Direttiva (UE) 2022/2464) e lo standard VSME di EFRAG operano con un ciclo di rendicontazione annuale perché si allineano all'esercizio contabile. NIS2 (Direttiva (UE) 2022/2555, articolo 21 paragrafo 2) e ISO/IEC 27001 Allegato A non indicano un termine di calendario, ma presuppongono una valutazione periodica delle misure nell'ambito della gestione dei rischi. Il fascicolo della catena segue pertanto, per ogni sezione, il ciclo della fonte, non un'unica regola generale.