Min kund vill ha bevis för svaren på hållbarhetsenkäten

Underlag hör till svaret, inte separat från det

En begäran om underlag betyder vanligtvis att svaret i sig själv inte är tillräckligt: kunden vill kunna verifiera vad det baseras på. För identitetsfrågor är det ofta enkelt — registreringsnumret kan verifieras via handelsregistret, vilket omedelbar är underlaget. För frågor från EFRAG VSME-basmodellen ligger det annorlunda: där efterfrågas ofta ett underliggande dokument, såsom en energifaktura för förbrukningen eller ett policydokument för en angiven åtgärd. Om det dokumentet inte finns, är det ärliga svaret att underlaget ännu inte finns — inte att hitta på ett underlag som inte finns, och inte att ändra det underliggande svaret så att det råkar stämma överens med det som finns.

Begäranden om underlag kräver också precision angående form. "Ett uttalande från ledningen" är något annat än "ett signerat policydokument", och en kund som specifikt frågar efter ett certifikat — såsom vid ISO 9001 — betyder själva certifikatet, inte en intern kvalitetsprocedur som är innehållsmässigt likartad. Om det begärda dokumentet inte finns, är "nej, ännu inte närvarande" ett mer fullständigt och hållbart svar än att ladda upp ett underlag som säger något något annorlunda än vad som efterfrågades.

Var frågan om bevis kommer ifrån

CSRD:n (Europaparlamentets och rådets direktiv (EU) 2022/2464) kräver av rapporterande företag underbyggd, verifierbar information, och denna förväntan sipprar ner till leverantörer som tillfrågas om bevisföring i kedjan. Vid cybersäkerhetlistor är begäran om bevis ofta direkt hänförbar till de tio åtgärderna i artikel 21, andra stycket, i NIS2-direktivet, eller till kontrollåtgärderna i bilaga A till ISO/IEC 27001 — båda är frågor om en påvisbar åtgärd, inte om en avsikt.