perché devo compilare continuamente le stesse domande per clienti diversi

Stessi campi, vesti diversi

Ciò accade perché la maggior parte delle domande non proviene da quel cliente, ma da una fonte comune: una legge, una norma o un modulo standardizzato che ogni acquirente più o meno adotta. Le domande sul numero di dipendenti, il fatturato, i paesi di ubicazione o un certificato ISO ricorrono perché questi dati sono già obbligatori o standardizzati altrove — non perché ogni cliente ha deciso separatamente di voler sapere questo. Un modulo base come il VSME dell'EFRAG è addirittura stato creato esattamente per questo: un insieme fisso di campi che più acquirenti possono adottare, in modo che un fornitore di PMI non debba inventare una nuova lista di domande per ogni cliente.

La differenza tra i portali spesso risiede nell'imballaggio, non nel contenuto. Un cliente chiede "qual è la vostra sede principale", un altro "dove si trova il vostro registered office" — due formulazioni per l'indirizzo della sede dell'impresa. Lo stesso vale per la continuità: una lista la chiama "business continuity plan", un'altra "piano di emergenza in caso di interruzione", ma si tratta di un piano per la continuazione delle operazioni aziendali in caso di grave interruzione. Chi riconosce la domanda sottostante non ha bisogno di chiedersi ogni volta cosa significhi esattamente.

Tre fonti che funzionano ovunque

Tre normative spiegano la maggior parte della sovrapposizione. La Handelsregisterwet 2007 stabilisce quali dati di base di ogni impresa sono registrati — nome, numero, indirizzo, settore — e questi campi ricorrono quindi in quasi tutti i portali. La Direttiva (UE) 2022/2464, il CSRD, obbliga la rendicontazione sulla sostenibilità per un numero sempre crescente di imprese, e questo obbligo si estende ai loro fornitori, ai quali viene presentato il modulo base VSME dell'EFRAG come alternativa semplificata. E l'articolo 21, paragrafo 2, della Direttiva (UE) 2022/2555, il NIS2, elenca dieci misure concrete di sicurezza che le organizzazioni nei settori designati devono adottare — le stesse dieci che ricorrono costantemente nei questionari sulla sicurezza informatica, spesso riconoscibili nella struttura dell'ISO/IEC 27001 Annex A, a cui praticamente si allineano.