hvem i vores virksomhed skal godkende svarene før vi sender dem ind

Det er virksomheden selv, ikke systemet, der bestemmer, hvem der skal underskrive

Vores system foreslår kun svar fra kettedokumentationen; bekræftelse af hvert enkelt svar er et valg for kunden, og vi foreskriver ikke, hvem der internt skal gøre det. I en organisation sætter kvalitetschefen fluebenet ved et ISO-spørgsmål og CISO'en bekræfter et spørgsmål om informationssikkerhed; i en mindre virksomhed gør én person alt. Det, som din kunde spørger om, handler nemlig sjældent om ét område: en spørgeskema blander ofte faktiske virksomhedsdata med indholdsmæssige vurderinger, og det kræver ikke altid den samme bekræfter.

Den sondring, der faktisk er relevant: ved en faktisk oplysning som det registreringsnummer, under hvilket virksomheden er tilmeldt handler bekræftelsen primært om at kontrollere, om dokumentationen er korrekt. Ved et spørgsmål, der bygger på de ti foranstaltninger i artikel 21, stk. 2 i NIS2-direktivet, eller på de kontrolforanstaltninger, der er anført i Bilag A til ISO/IEC 27001, bekræfter den person, der underskriver, faktisk, at den underliggende foranstaltning også er iværksat — det er et andet ansvar end at overtype en adresse. Hvilken intern bemyndigelse det er, aftaler virksomheden selv; systemet registrerer kun, hvem der bekræftede hvilket svar på hvilket tidspunkt.

Hvor denne sondring mellem at foreslå og bekræfte kommer fra

At vi foreslår og kunden bekræfter, følger af det udgangspunkt, at der ikke finder nogen vurdering, pointgivning eller godkendelse sted hos os: hvert svar, der når frem til kundens portal, er blevet godkendt af kunden selv. For spørgsmål, der kommer fra EFRAG VSME-basismodulet — som dem omkring antal medarbeidere eller etableringslandene — ligger kildeoplysningerne ofte allerede fast i kettedokumentationen, for eksempel hos virksomhedens antal medarbejdere eller de lande, hvor virksomheden har etablering; bekræftelse betyder her primært at kontrollere, at dokumentationen er aktuel. For spørgsmål, der vedrører forpligtelser i henhold til CSRD-direktivet (2022/2464) eller NIS2-foranstaltningerne, er bekræftelsen indholdsmæssigt tungere, og det er præcis derfor, at platformen ikke foreskriver en rolle: den afvejning hører til virksomheden, ikke til værktøjet, der foreslår svaret.