o que preencho se uma pergunta da lista não se aplica a mim

N/A é correto apenas se a pergunta realmente não se aplica

"N/A" preenchas apenas se a pergunta se refere a algo que na tua empresa estruturalmente não ocorre — não porque não conheces a resposta ou não tens a prova à mão. Esta distinção é importante, porque uma equipa de compras defensiva ou um auditor lê "n/a" como uma exclusão consciente, e tens de poder explicá-la. Uma pergunta sobre sistemas de IA é, por exemplo, realmente n/a se a tua empresa não os utiliza — mas nota bem: a empresa utiliza sistemas de IA no âmbito da sua prestação de serviços? é interpretado de forma ampla, também uma ferramenta adquirida externamente com um componente de IA frequentemente se enquadra aqui. Em caso de dúvida, "não, não aplicável no âmbito solicitado" é mais preciso do que um simples "n/a".

Casos de dúvida surgem especialmente com perguntas que provêm de um marco mais amplo e não se adequam um-para-um à escala das PME. O módulo base VSME da EFRAG é claro sobre isto: alguns indicadores são apenas relevantes se a empresa executa uma atividade específica ou tem um determinado volume. Preenche então brevemente a razão — "empresa não tem frota própria", "atividade X não é executada" — do que apenas a etiqueta. O mesmo aplica-se a perguntas que provêm das dez medidas do artigo 21.º, n.º 2 da Diretiva NIS2: se uma medida diz respeito à segurança da cadeia de fornecimento e não tens fornecedores de TIC externos com acesso aos teus sistemas, trata-se de um n/a fundamentado, não de uma resposta em falta.

Quando esta distinção aparece nas fontes

O módulo base VSME distingue explicitamente indicadores obrigatórios e indicadores condicionais: um indicador condicional é precisamente a categoria em que "n/a" é adequado, desde que falte a condição de aplicabilidade. Na ISO/IEC 27001 este princípio está formalizado nas medidas de controlo do Anexo A: uma medida que não é aplicável deve ser fundamentada na Declaração de Aplicabilidade com uma razão, não apenas estar marcada. Esta mesma obrigação de fundamentação é também prática em perguntas de identidade — se uma pergunta sobre estabelecimentos em vários países não se aplica, isto pode ser rastreado até em que países é que a empresa tem estabelecimentos? e uma breve explicação da situação factual é suficiente.