imajo vse naše lokacije en skupni dossier ali ima vsaka svoj

En verigni dossier, več lokalnih profilov

Odgovor: dossier deluje skupaj, vendar ne kot en samski zabojnik odgovorov za vsakogar. V praksi postaviš en verigni dossier za celotno organizacijo, znotraj njega pa na ravni vsake lokacije navedete, kaj se razlikuje. Naslov lokacije podjetja in državami, v katerih ima podjetje prostore so pri tem prva delitev: nekatera vprašanja v anketi izrecno spraševajo o situaciji na eni lokaciji, ne o koncernu kot celoti.

Kaj je res skupno: odgovori s področja upravljanja, certifikat ISO 27001, če je izdан na ravni pravne osebe, in CSRD/VSME-številke, če se te poročajo v konsolidirani obliki. Kaj se pogosto razlikuje po lokaciji: število zaposlenih na tej lokaciji, lokalne certifikacije in včasih obseg ukrepov informatične varnosti, če vsa podjetja ne sodijo v isti obseg ISO. Zato izpolniš skupni del na ravni koncerna enkrat, nato pa za vsako lokacijo dodam plast, kjer anketa konkretno to zahteva.

Zakaj ta razlika obstaja: registracija v primerjavi s področjem poročanja

To izhaja iz tega, kako sta registracija in poročanje pravno ločena. Zakon o trgovinskem registru 2007 registrira lokacije kot ločene enote pod enim podjetjem — zato včasih kupec sprašuje po številki lokacije namesto po glavni vpisni številki KvK. CSRD (Direktiva 2022/2464) in standard VSME EFRAG pa poročata na ravni poročajoče osebe, običajno skupine, zato so te številke po definiciji konsolidirane in se ne da jih deliti po lokacijah. NIS2 (Direktiva 2022/2555, člen 21, odstavek 2) in ISO/IEC 27001 Dodatek A sta odvisni od obsega, ki ga je organizacija sama določila za svoj sistem upravljanja: če ta obseg zajema samo eno lokacijo, se certifikat ne uporablja samodejno za ostale. Zato odgovor na to vprašanje ni enak »skupaj« ali »ločeno«, ampak je odvisen od tega, kateri del dossierja opazuješ.