Este caso práctico empieza con una declaración de interés, porque sin ella no valdría nada: soy CEO de Eucerta AG y fundador de Netgen. Netgen Switzerland fue, por tanto, nuestro propio campo de pruebas: la primera empresa que recorrió todo el camino a través de nuestra plataforma, con todas las fricciones que salieron a la luz.
Quien concluya de ello que este caso práctico no es un testimonio independiente de un cliente, tiene razón. Es otra cosa: la documentación de lo que ocurre cuando se construyen cuatro normas a la vez como un único sistema, en lugar de irlas resolviendo una tras otra. La auditoría en sí se desarrolló con las mismas reglas que en cualquier otro procedimiento: la misma norma, el mismo criterio, el mismo número de jornadas de auditoría. Cómo organizamos la independencia se explica en la página Certificación independiente.
«Queríamos saber si nuestra propia promesa se sostenía. Así que la pusimos a prueba primero con nosotros mismos, y además con cuatro normas a la vez, porque ese es precisamente el caso más difícil.» – Christian Paredes, CEO de Eucerta AG
La empresa y el alcance
Netgen Switzerland es una agencia web y digital con sede en Zúrich, activa en el ámbito de la tecnología y el software. El alcance que figura en el certificado es: «Soluciones web a medida para experiencias de cliente óptimas en el marketing digital».
Es un caso típico de organización de servicios con cuatro temas relevantes al mismo tiempo: la calidad de los proyectos frente al cliente, la seguridad de la información, porque se tratan datos y accesos de clientes, los aspectos ambientales de una actividad de oficina con infraestructura informática, y el uso de la IA en la prestación del servicio. De ahí surgieron precisamente las cuatro normas: ISO 9001, ISO 14001, ISO 27001 e ISO 42001.
Los datos del procedimiento
Primero los datos verificables, porque son los que fijan el marco:
- Cuatro normas como un sistema de gestión integrado: ISO 9001, ISO 14001, ISO 27001, ISO 42001
- Certificado el 8 de mayo de 2026, válido hasta el 7 de mayo de 2029
- Números de certificado: eca-20260630-001 para la gestión de la calidad y eca-20260818-001 para la gestión ambiental, de la seguridad de la información y de la IA
- Primer proyecto creado en la plataforma en febrero de 2026, los siguientes en marzo y abril, los cuatro certificados en mayo de 2026
- 164 tareas repartidas entre los capítulos de las normas, 54 documentos en el sistema
Cada uno de estos certificados se puede comprobar en el registro público de eucerta.org mediante el número de certificado. Un caso práctico cuyos certificados no se pueden consultar es una simple afirmación.
Unos tres meses desde el primer proyecto hasta la certificación de las cuatro normas: esa es la cifra del titular, y tiene una condición: la empresa ya trabajaba de forma estructurada antes. Las normas ordenaron una práctica existente, no sustituyeron una inexistente.
Qué dice la cifra 164 sobre la forma de trabajar
164 tareas suenan a mucho, pero son la verdadera razón por la que cuatro normas juntas avanzan más rápido que por separado. Desde la estructura común de alto nivel, las cuatro normas siguen el mismo esquema: contexto de la organización, liderazgo, planificación, apoyo, operación, evaluación del desempeño, mejora, en el mismo orden y con contenidos en gran medida idénticos.
Quien las implanta por separado escribe esos capítulos cuatro veces, gestiona cuatro programas de auditoría interna, celebra cuatro revisiones por la dirección y se somete cuatro veces a auditoría. El valor añadido de cuadruplicar todo eso es nulo, y el esfuerzo va en detrimento de los temas que de verdad requieren atención. Para una agencia que trata datos y accesos de clientes, eso es sobre todo la seguridad de la información: el Informe de situación del BSI sobre la seguridad informática en Alemania 2025 señala la gestión consecuente de la propia superficie de ataque como palanca decisiva y atribuye alrededor del 80 por ciento de los ataques notificados a pequeñas y medianas empresas. En el sistema integrado, los capítulos comunes se elaboran una sola vez, y como específicas de cada norma quedan exactamente las partes que realmente son distintas: los aspectos ambientales y el catálogo de requisitos legales para ISO 14001, la evaluación de riesgos y las 93 medidas del Anexo A para ISO 27001, el inventario de sistemas de IA con sus análisis de impacto para ISO 42001.
Vistos así, los 54 documentos son la cifra más reveladora. Cuatro sistemas separados habrían producido claramente más documentos para la misma sustancia, con el conocido problema derivado de que cuatro versiones de una misma regla acaban divergiendo.
`[COMPROBAR: si la plataforma permite obtener el número de documentos de un proyecto comparable de una sola norma, aquí quedaría muy bien una comparación documentada, p. ej. «54 documentos en lugar de X con cuatro sistemas separados». Sin una cifra de comparación documentada, la afirmación se queda en lo cualitativo, tal como está ahora.]`
Qué significó en concreto la ISO 42001 para una agencia
La parte más interesante fue la norma de IA, porque es donde menos rutina existe. Para una agencia que usa IA en la prestación de sus servicios, la ISO 42001 exige, entre otras cosas, un inventario de los sistemas de IA utilizados, una evaluación de sus impactos, responsabilidades claras y reglas para el tratamiento de los resultados, incluida la cuestión de dónde decide una persona y no el sistema.
Para el día a día, eso implica menos tecnología de la esperada y más organización: ¿qué herramientas están autorizadas? ¿Qué datos de clientes pueden introducirse y cuáles no? ¿Quién revisa los resultados antes de que lleguen al cliente? ¿Cómo se documenta todo esto?
Estas preguntas son también la razón por la que la ISO 42001 y el EU AI Act deberían pensarse juntos: la norma estructura cómo se opera la IA de forma responsable, el reglamento regula qué está permitido. Está en vigor desde el 1 de agosto de 2024, las obligaciones para los modelos de IA de uso general se aplican desde el 2 de agosto de 2025 y otras fases llegarán en 2026 y 2027. Para el uso de la IA en el producto, la experiencia muestra que esto genera las mismas bases: inventario de sistemas, evaluación de riesgos, responsabilidades, documentación. Los detalles están en nuestras páginas sobre la ISO 42001 y sobre el EU AI Act.
`[COMPROBAR: aquí sería valioso un ejemplo concreto y autorizado del procedimiento de Netgen, por ejemplo una regla sobre el tratamiento de datos de clientes en herramientas de IA surgida de la implantación del AIMS. Solo con la autorización de Netgen, ya que describe su operativa.]`
Qué ocurre entre auditorías
La parte que suele faltar en los casos prácticos es la más importante: un certificado tiene una validez de tres años desde la fecha de la auditoría, en el caso de Netgen hasta el 7 de mayo de 2029. En esos tres años se decide si el sistema vive o se llena de polvo en una carpeta.
Para ello está previsto un mantenimiento continuo en la plataforma en lugar de una reanimación justo antes de la siguiente auditoría: tareas con fechas de vencimiento, documentos con responsables, un programa de auditoría interna que cubre las cuatro normas y una revisión por la dirección que sea una base de decisión para la gerencia y no un acta para el auditor. Quien no quiera encargarse personalmente de este mantenimiento trabaja con un partner de nuestra red de partners como auditor interno, a quien nosotros llamamos «Kümmerer», la persona que se ocupa.
`[COMPROBAR: estado de la fase de seguimiento en Netgen a la fecha de publicación (11/11/2026): ¿se han realizado ya auditorías internas o una revisión por la dirección en el nuevo ciclo? Propuesta: añadir una frase con el estado real, eso hace que la sección sea sólida y no meramente programática.]`
Qué hemos aprendido para otros proyectos
Desde entonces, tres observaciones se han confirmado en otros procedimientos:
- El alcance es la decisión más cara del principio. Con cuatro normas, determina el esfuerzo por cuadruplicado.
- El orden marca el ritmo. Primero los capítulos comunes, después las partes específicas de cada norma; al revés se genera trabajo doble.
- Lo existente cuenta más que lo nuevo. La ganancia de tiempo surgió al ordenar la práctica existente, no al inventar procesos nuevos.
`[COMPROBAR: si hay datos concretos de experiencia sobre el ahorro de tiempo frente a cuatro procedimientos individuales (jornadas de auditoría, jornadas-persona), añadirlos aquí documentados. He evitado deliberadamente dar un porcentaje, porque no está documentado.]`
Conclusión
Cuatro normas en un sistema y unos tres meses hasta la certificación: es posible, pero no es una promesa válida para cualquier empresa. La condición previa fue una empresa que ya trabajaba de forma estructurada y la decisión de pensar las cuatro normas juntas desde el principio.
Lo que sí se puede generalizar es la lógica que hay detrás: la estructura común de las normas no es teoría, sino una palanca real. Quien la aprovecha paga el trabajo de base una vez en lugar de cuatro. Y quien usa su propia empresa como campo de pruebas debería declararlo, por eso la declaración de interés está al principio de este artículo y no en la letra pequeña.
Su siguiente paso: calcule en la calculadora de costes el precio de paquete para sus normas —a partir de la segunda norma, 149 en lugar de 179 euros al mes— o vea cómo se construye un sistema de gestión integrado.
Para seguir leyendo:
