cliente solicita documentos de apoio nas respostas do questionário

Documento comprobativo corresponde ao tipo de resposta

O que entrega depende do que é exatamente perguntado: um dado factual, uma escolha política ou uma medida demonstrável. Para questões de identidade e dimensão — a designação estatutária, o número de registo ou o número de colaboradores — o documento comprobativo é simples: um extracto do Registo Comercial é suficiente, pois esses dados estão legalmente registados lá. Para uma questão sobre ISO 27001 é diferente: frequentemente não se pergunta pelo sistema de gestão inteiro, mas pelo certificado em si ou por uma declaração de quais medidas do Anexo A foram implementadas. Para questões NIS2 sobre o artigo 21.º n.º 2, a prova é geralmente uma descrição por medida — por exemplo, como o tratamento de incidentes ou o controlo de acessos está organizado — não um certificado isolado, pois a NIS2 não tem um esquema de certificação próprio.

Para questões de sustentabilidade que vêm do módulo básico VSME ou da CSRD, "prova" geralmente não é um documento isolado mas o cálculo subjacente ou a fonte de um número: o contrato de energia por trás de um dado de consumo, a lista de fornecedores por trás de uma declaração de cadeia. Se não tem o documento comprobativo solicitado, a resposta mais honesta é colocar a resposta como "não" ou "não aplicável" em vez de entregar um documento que não cobre o que é perguntado — por isso o sistema nunca sugere um "sim" sem que haja uma fonte no dossier.

Origem da obrigação de prova por questão

Qual documento comprobativo é lógico depende da origem da questão: Lei do Registo Comercial 2007 para os dados básicos, EFRAG VSME e Directiva (UE) 2022/2464 para números de sustentabilidade, ISO/IEC 27001 Anexo A para medidas de segurança da informação, e artigo 21.º n.º 2 da Directiva (UE) 2022/2555 para as dez medidas NIS2. Cada fonte determina o seu próprio tipo de prova; não há uma norma geral que diga o que é "prova suficiente" para todos os questionários em conjunto.