ogni cliente richiede il suo formato specifico questo sistema può gestirlo

Un dossier di catena, ogni formato ha il suo set di domande

Sì, il sistema può gestirlo — è precisamente per questo che esiste un dossier di catena invece di un archivio con elenchi compilati. La banca pone la domanda sui numeri dei dipendenti diversamente dall'assicuratore, e l'elenco di sostenibilità del cliente A raggruppa le domande diversamente da quello del cliente B. Ma sotto tutti questi formati di solito si trova lo stesso insieme di fatti: il numero di dipendenti, i paesi in cui l'azienda ha sedi, o se esiste un certificato ISO 9001. Il sistema riconosce la domanda nel formato del cliente e la collega al fatto corretto nel dossier, indipendentemente da come è formulata esattamente la domanda.

Quello che conta davvero: più specifica è la domanda, meno automatico è il collegamento. "Avete una politica di sicurezza delle informazioni" è un livello diverso da "quali delle misure di controllo dell'Allegato A della ISO/IEC 27001 sono state implementate" — quest'ultimo richiede un dossier strutturato a quel livello di dettaglio, non solo un flag sì/no. Lo stesso vale per le dieci misure dell'articolo 21 paragrafo 2 della direttiva NIS2: se un cliente vuole prove per ogni misura, il dossier deve avere qualcosa da offrire per ogni misura, non solo una dichiarazione generale. Il sistema suggerisce allora quello che è appropriato; la conferma per ogni risposta rimane a carico del cliente.

Riconoscimento per domanda, non per formato

Il collegamento funziona a livello della singola domanda, non a livello dell'intero elenco — è necessario perché nessun due formati cliente sono identici, neanche all'interno dello stesso standard. Una domanda sul modulo di base EFRAG VSME può essere un campo di testo aperto nel formato di un cliente e una domanda sì/no separata per ogni indicatore nel formato di un altro cliente; il dossier fornisce in entrambi i casi lo stesso fatto sottostante, solo presentato diversamente. Quando un formato chiede qualcosa che non si trova nel dossier — ad esempio un dettaglio non ancora registrato, come l'impresa utilizza sistemi di IA — il sistema non suggerisce alcuna risposta, perché non c'è una fonte a cui fare riferimento.