temos várias filiais devo preencher a lista de verificação separadamente para cada empresa

Geralmente por entidade jurídica, não por grupo

Na maioria dos casos, cada sociedade por quotas preenche o questionário separadamente, porque a parte que questiona avalia a entidade jurídica com a qual celebrou um contrato. Cada sociedade por quotas tem, afinal, um registo próprio no registo comercial, um número próprio, número de registo e geralmente um endereço de estabelecimentoseparado. Uma resposta que é correcta para a empresa-mãe — por exemplo, sobre o número de colaboradores ou o volume de negócios anual — não é automaticamente correcta para a filial. Se a filial preencher ela própria a lista junto do seu próprio cliente, as suas cifras aplicam-se, não as do grupo.

Há uma nuance importante: na comunicação de informações CSRD (Directiva 2022/2464) e na norma VSME da EFRAG, é frequente comunicar ao nível do grupo, com uma visão consolidada de toda a cadeia de filiais. Se um cliente questiona especificamente sobre a comunicação de informações de sustentabilidade segundo a CSRD ou VSME, a resposta pode efectivamente estar ao nível do grupo — verifique se o questionário a pergunta explicitamente ou sobre a situação da sociedade por quotas individual. Em questões sobre segurança da informação (ISO/IEC 27001, NIS2), o âmbito situa-se frequentemente ao nível da entidade que presta o serviço, porque se trata dos sistemas e processos que funcionam efectivamente nessa sociedade por quotas. Um dossier de cadeia único com os factos individuais por filial é útil aqui: por cada filial, estabeleça separadamente o que é verdadeiro, e o sistema utiliza, para cada questionário, o conjunto correcto.

Por que isto varia consoante a regulamentação

A Lei do Registo Comercial de 2007 regista cada empresa em separado, com um número próprio — esse é o ponto de partida que a maioria dos portais de compras seguem. A CSRD (Directiva 2022/2464) e o módulo básico VSME da EFRAG têm, por outro lado, uma forma de comunicação de informações consolidada ao nível do grupo. A NIS2 (Directiva 2022/2555, artigo 21.º, n.º 2) e a ISO/IEC 27001 direcionam-se para a organização que efectivamente gere o serviço ou o sistema, o que é geralmente a sociedade por quotas individual. Qual o nível aplicável não é, portanto, estabelecido numa única lei, mas decorre da própria questão — veja o que é literalmente perguntado sobre o sector ou âmbito da comunicação de informações.