quién dentro de nuestra empresa debe aprobar las respuestas antes de presentarlas

Quién firma lo decide la propia empresa, no el sistema

Nuestro sistema solo propone respuestas del expediente de la cadena; la confirmación por respuesta es una decisión del cliente, y no prescribimos quién debe hacerlo internamente. En una empresa, el gestor de calidad marca la casilla en una pregunta ISO y el CISO firma en una pregunta sobre seguridad de la información; en una empresa más pequeña, una sola persona lo hace todo. Lo que pregunta tu cliente rara vez trata sobre un único ámbito: un cuestionario a menudo mezcla datos empresariales objetivos con evaluaciones sustantivas, y eso no siempre requiere el mismo confirmante.

La distinción que sí es relevante: en un hecho como el número de registro bajo el que está inscrita la empresa confirmar es principalmente verificar que el expediente es correcto. En una pregunta que se remite a las diez medidas del artículo 21, apartado 2, de la Directiva NIS2, o a las medidas de control del Anexo A de ISO/IEC 27001, quien firma confirma efectivamente que la medida subyacente también se ha aplicado realmente — esa es una responsabilidad diferente a la de copiar una dirección. Quién tiene ese mandato interno lo decide la empresa; el sistema solo registra quién confirmó qué respuesta en qué momento.

De dónde procede esa separación entre proponer y confirmar

Que nosotros propongamos y el cliente confirme se deriva del principio de que no realizamos ninguna evaluación, puntuación o aprobación: cada respuesta que llega al portal del cliente ha sido aprobada por el propio cliente. Para preguntas que provienen del módulo básico EFRAG PYME — como las relativas a número de empleados o países de establecimiento — los datos de origen a menudo ya están fijados en el expediente de la cadena, por ejemplo en el número de empleados de la empresa o los países en los que la empresa tiene establecimientos; confirmar significa principalmente verificar que el expediente está actualizado. Para preguntas que afecten a obligaciones de la Directiva CSRD (2022/2464) o a las medidas NIS2, la confirmación tiene más peso sustantivo, y es precisamente por eso que la plataforma no prescribe ningún rol: esa evaluación corresponde a la empresa, no a la herramienta que propone la respuesta.