Čo vyplním, ak sa otázka na zozname na mňa nevzťahuje

N.v.t. je správne len vtedy, ak sa otázka naozaj nevzťahuje

"N.v.t." vyplníš len vtedy, ak sa otázka týka niečoho, čo sa vo vašej spoločnosti štruktúrne nevyskytuje — nie ak nepoznáš odpoveď alebo nemáš dôkaz po ruke. Tento rozdiel je dôležitý, pretože nákupný tím alebo audítor číta "n.v.t." ako vedomý výnimka, ktorú musíš vedieť vysvetliť. Otázka o systémoch AI je napríklad naozaj n.v.t., ak vaša spoločnosť ich nepoužíva — ale pozor: používa spoločnosť systémy AI pri poskytovaní svojich služieb? sa interpretuje široko, často sem patria aj externé nástroje s komponentom AI. V prípade pochybností je "nie, v rámci požadovaného rozsahu sa nevzťahuje" presnejšie ako len "n.v.t."

Pochybné prípady vznikajú predovšetkým pri otázkach z väčšieho rámca, ktoré sa priamo nevzťahujú na MSP. Základný modul VSME od EFRAG je v tom sám jasný: niektoré ukazovatele sú relevantné len vtedy, ak spoločnosť vykonáva určitú činnosť alebo dosiahla určitú veľkosť. Potom radšej stručne napíš dôvod — "spoločnosť nemá vlastný vozový park", "činnosť X sa nevykonáva" — ako len štítok. Rovnaké platí pre otázky z desiatich opatrení čl. 21 ods. 2 smernice NIS2: ak sa opatrenie týka bezpečnosti dodávateľského reťazca a nemáš externých dodávateľov ICT s prístupom k tvojim systémom, je to zdôvodnené n.v.t., nie chýbajúca odpoveď.

Kde sa tento rozdiel objavuje v zdrojoch

Základný modul VSME výslovne rozlišuje povinné a podmienené ukazovatele: podmienený ukazovateľ je práve kategória, kde "n.v.t." má miesto, pokiaľ chýba podmienka použiteľnosti. Pri ISO/IEC 27001 je tento princíp formalizovaný v opatreniach Prílohy A: opatrenie, ktoré sa nevzťahuje, musí byť v Prehlásení o použiteľnosti podložené dôvodom, nie len zaškrtnuté. Rovnaká povinnosť zdôvodnenia platí aj pri otázkach zameraných na identifikáciu — ak sa otázka o pobočkách vo viacerých krajinách nevzťahuje, dá sa to vysledovať na v ktorých krajinách má spoločnosť pobočky? a stačí stručné vysvetlenie faktickej situácie.