posso usar as mesmas respostas para o próximo questionário de outro cliente

Sim, para perguntas de identidade quase sempre

Sim, para uma grande parte de cada lista de verificação a mesma resposta pode ser reutilizada. Isto aplica-se especialmente aos dados básicos fixos: nome estatutário, número KvK, endereço de estabelecimento, setor, número de colaboradores e volume de negócios. Estes dados estão registados no Registo Comercial e não mudam por cliente. Quer a pergunta venha de um banco, de uma seguradora ou de um departamento de compras que solicita informações sobre sustentabilidade: o número de registo da empresa é a mesma resposta em toda a parte. O mesmo aplica-se a uma pergunta sobre o seguro de responsabilidade civil ou sobre ISO 9001: não é um instantâneo, é um estado que estabelece uma vez e depois reutiliza até que mude.

Para perguntas substanciais, é mais nuançado. Uma pergunta sobre ISO/IEC 27001 numa lista pergunta apenas se o certificado existe, noutra sobre medidas de controlo específicas do anexo A — por exemplo, controlo de acesso ou resposta a incidentes. Uma pergunta que se refere às dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2 é mais precisa do que uma pergunta geral sobre "cibersegurança", e a resposta deve corresponder a essa precisão. É o mesmo com as listas de sustentabilidade: o módulo básico VSME da EFRAG faz perguntas ligeiramente diferentes de um cliente que fez uma seleção própria dos indicadores da CSRD. O facto subjacente — tem a política, tem a medida — permanece o mesmo, mas a pergunta a que a resposta deve corresponder varia. Por isso, a reutilização é a base, e por cada pergunta é necessário verificar se a pergunta mede exatamente o mesmo que o controlo associado.

Porque isto varia por fonte

Para dados de identidade, é assim porque a Lei do Registo Comercial de 2007 estabelece esses dados como um conjunto fixo único, independentemente de quem pergunta. Para as perguntas substanciais, a diferença resulta da fonte a que a própria lista de verificação se refere: as dez medidas do artigo 21.º, n.º 2 da Diretiva (UE) 2022/2555 são formuladas de forma ligeiramente diferente das medidas de controlo do anexo A da ISO/IEC 27001, e os indicadores do módulo VSME da EFRAG seguem novamente uma classificação diferente da Diretiva (UE) 2022/2464. A mesma prática subjacente pode assim aparecer em perguntas diferentes, com uma resposta ligeiramente diferente como resultado.