posso dare una risposta diversa a uno piuttosto che all'altro per la stessa domanda

Risposte diverse per cliente, purché corrette tutte

Sì, è consentito, perché non si tratta di un'unica risposta fissa ma di quali fatti ogni cliente chiede e con quale precisione. La domanda "siete conformi a ISO 27001" può richiedere a un cliente una semplice risposta sì o no, mentre a un altro cliente può richiedere una scomposizione per ogni controllo da Annex A. Finché entrambe le risposte si basano sugli stessi fatti sottostanti nel dossier della catena, non c'è contraddizione — solo un livello di dettaglio o una formulazione diversa.

Dove le cose vanno male è quando i fatti stessi sono diversi. Se il numero di dipendenti presso il cliente A è superiore a quello presso il cliente B, senza una ragione riconoscibile (data di riferimento diversa, definizione diversa di "dipendente"), allora è un rischio. Lo stesso vale per una domanda come l'impresa utilizza sistemi di IA: la risposta può essere formulata diversamente per ogni cliente, ma la situazione sottostante è una sola. Supplia riconosce tali domande come "la stessa domanda, formato diverso" e le compila dallo stesso dossier, in modo che la risposta ovunque si basi sugli stessi fatti — anche se la frase si presenta diversamente.

Nessun obbligo legale di una formulazione identica, ma obbligo di fatti corretti

Nessuno dei regolamenti citati — né la Legge sul Registro del Commercio 2007, né il CSRD (Direttiva (UE) 2022/2464), né la direttiva NIS2 (Direttiva (UE) 2022/2555) — prescrive che un'impresa fornisca a ogni cliente risposte formulate in modo identico. Quello che conta è che i dati sottostanti siano corretti: la Legge sul Registro del Commercio 2007 stabilisce quali dati di base di un'impresa sono ufficialmente registrati, e questi sono i dati su cui ogni risposta — in qualsiasi formato — deve basarsi. Lo standard EFRAG VSME e Annex A di ISO/IEC 27001 funzionano con indicatori e misure fissi; clienti diversi possono chiedere una selezione diversa da questi, ma il valore dietro ogni indicatore è uno solo.