Cette étude de cas commence par une déclaration d'intérêt, car sans elle elle n'aurait aucune valeur : je suis CEO d'Eucerta AG et fondateur de Netgen. Netgen Switzerland a donc été notre propre terrain d'essai – la première entreprise à avoir parcouru l'intégralité du chemin à travers notre plateforme, avec toutes les frictions qui sont apparues en route.
Si vous en concluez que cette étude de cas n'est pas un témoignage client indépendant, vous avez raison. Elle est autre chose : la documentation de ce qui se passe lorsqu'on construit quatre normes simultanément comme un seul système, au lieu de les traiter l'une après l'autre. L'audit lui-même s'est déroulé selon les mêmes règles que toute autre procédure – même norme, même exigence, même nombre de jours d'audit. La manière dont nous organisons l'indépendance est décrite sur la page Certifié en toute indépendance.
« Nous voulions savoir si notre propre promesse tenait. Nous l'avons donc d'abord éprouvée sur nous-mêmes – et ce avec quatre normes à la fois, parce que c'est précisément le cas le plus difficile. » – Christian Paredes, CEO Eucerta AG
L'entreprise et le domaine d'application
Netgen Switzerland est une agence web et digitale basée à Zurich, active dans les domaines de la technologie et du logiciel. Le domaine d'application figurant sur le certificat est le suivant : « Solutions web sur mesure pour des expériences client optimales dans le marketing digital ».
C'est un cas typique d'organisation de services confrontée simultanément à quatre sujets pertinents : la qualité des projets vis-à-vis des clients, la sécurité de l'information, parce que des données et des accès clients sont traités, les aspects environnementaux d'une activité de bureau dotée d'une infrastructure informatique, et l'usage de l'IA dans la fourniture des prestations. De là découlent précisément les quatre normes : ISO 9001, ISO 14001, ISO 27001 et ISO 42001.
Les faits concernant la procédure
Les données vérifiables d'abord, car elles posent le cadre :
- Quatre normes en un système de management intégré : ISO 9001, ISO 14001, ISO 27001, ISO 42001
- Certifié le 8 mai 2026, valable jusqu'au 7 mai 2029
- Numéros de certificat : eca-20260630-001 pour le management de la qualité ainsi que eca-20260818-001 pour le management environnemental, de la sécurité de l'information et de l'IA
- Premier projet créé dans la plateforme en février 2026, d'autres en mars et avril, les quatre certifiés en mai 2026
- 164 tâches réparties sur les chapitres des normes, 54 documents dans le système
Chacun de ces certificats est vérifiable dans le registre public sur eucerta.org à partir du numéro de certificat. Une étude de cas dont on ne peut pas consulter les certificats n'est qu'une affirmation.
Environ trois mois entre le premier projet et la certification des quatre normes – c'est le chiffre du titre, et il est assorti d'une condition : l'entreprise travaillait déjà de manière structurée auparavant. Les normes ont ordonné une pratique existante, elles n'ont pas remplacé une pratique absente.
Ce que le chiffre 164 dit de la méthode de travail
164 tâches, cela paraît beaucoup, mais c'est justement la raison pour laquelle quatre normes menées ensemble avancent plus vite que séparément. Depuis l'adoption de la structure de base commune, les quatre normes suivent le même plan : contexte de l'organisation, leadership, planification, support, réalisation des activités opérationnelles, évaluation des performances, amélioration – dans le même ordre, avec un contenu largement identique.
Celui qui les introduit séparément rédige ces chapitres quatre fois, mène quatre programmes d'audit interne, tient quatre revues de direction et se fait auditer quatre fois. La valeur ajoutée de cette quadruplication est nulle sur le fond – et la charge se fait au détriment des sujets qui méritent réellement de l'attention. Pour une agence qui traite des données et des accès clients, il s'agit avant tout de la sécurité de l'information : le rapport du BSI sur l'état de la sécurité informatique en Allemagne 2025 désigne la gestion rigoureuse de ses propres surfaces d'attaque comme le levier décisif et attribue environ 80 pour cent des attaques signalées aux petites et moyennes entreprises. Dans un système intégré, les chapitres communs ne sont élaborés qu'une seule fois, et ne restent spécifiques à chaque norme que les parties réellement différentes : les aspects environnementaux et le registre des exigences légales pour ISO 14001, l'appréciation des risques et les 93 mesures de l'annexe A pour ISO 27001, la cartographie des systèmes d'IA avec ses analyses d'impact pour ISO 42001.
Vus sous cet angle, les 54 documents sont le chiffre le plus parlant. Quatre systèmes distincts auraient produit nettement plus de documents pour la même substance – avec le problème bien connu qui s'ensuit : quatre versions de la même règle finissent tôt ou tard par diverger.
`[À VÉRIFIER : si la plateforme fournit le nombre de documents d'un projet comparable mono-norme, une comparaison étayée serait forte ici, p. ex. « 54 documents au lieu de X avec quatre systèmes distincts ». Sans chiffre de comparaison étayé, l'affirmation reste qualitative, telle qu'elle est formulée actuellement.]`
Ce qu'ISO 42001 a concrètement signifié pour une agence
La partie la plus intéressante a été la norme sur l'IA, car c'est là que la routine fait le plus défaut. Pour une agence qui utilise l'IA dans la fourniture de ses prestations, ISO 42001 exige entre autres une vue d'ensemble des systèmes d'IA utilisés, une évaluation de leurs impacts, des responsabilités claires et des règles de traitement des résultats – y compris la question de savoir où c'est un être humain qui décide et non le système.
Pour l'exploitation, cela signifie moins de technique que prévu et davantage d'organisation : quels outils sont autorisés ? Quelles données clients peuvent y être versées et lesquelles non ? Qui contrôle les résultats avant qu'ils ne soient transmis aux clients ? Comment cela est-il documenté ?
Ces questions expliquent aussi pourquoi ISO 42001 et l' EU AI Act devraient être pensés ensemble : la norme structure la manière dont l'IA est exploitée de façon responsable, le règlement fixe ce qui est autorisé. Il est en vigueur depuis le 1er août 2024, les obligations relatives aux modèles d'IA à usage général s'appliquent depuis le 2 août 2025, d'autres étapes suivront en 2026 et 2027. Pour l'usage de l'IA dans le produit, l'expérience montre que cela génère les mêmes fondations – cartographie des systèmes, appréciation des risques, responsabilités, documentation. Les détails figurent sur nos pages consacrées à ISO 42001 et à l' EU AI Act.
`[À VÉRIFIER : un exemple concret et validé issu de la procédure Netgen serait précieux ici – par exemple une règle relative au traitement des données clients dans les outils d'IA, née de la mise en place de l'AIMS. Uniquement avec l'accord de Netgen, car cela décrit son exploitation.]`
Ce qui se passe entre les audits
La partie qui manque le plus souvent dans les études de cas est la plus importante : un certificat est valable trois ans à compter de la date d'audit – chez Netgen donc jusqu'au 7 mai 2029. C'est au cours de ces trois années que se décide si le système vit ou s'il prend la poussière dans un classeur.
Ce qui est prévu pour cela, c'est un entretien continu dans la plateforme plutôt qu'une réanimation avant le prochain audit : des tâches avec échéances, des documents avec des responsables, un programme d'audit interne couvrant les quatre normes et une revue de direction qui constitue une base de décision pour la direction et non un procès-verbal destiné à l'auditeur. Qui ne souhaite pas assurer cet entretien lui-même travaille avec un partenaire de notre réseau de partenaires en tant qu'auditeur interne – que nous appelons « Kümmerer ».
`[À VÉRIFIER : état de la phase de surveillance chez Netgen à la date de publication (11/11/2026) – des audits internes ou une revue de direction ont-ils déjà eu lieu dans le nouveau cycle ? Proposition : ajouter une phrase indiquant l'état réel, cela rend la section solide plutôt que programmatique.]`
Ce que nous en avons retenu pour d'autres projets
Trois observations se sont depuis confirmées dans d'autres procédures :
- Le domaine d'application est la décision la plus coûteuse au début. Avec quatre normes, il détermine la charge de travail au quadruple.
- L'ordre prime sur le rythme. D'abord les chapitres communs, ensuite les parties spécifiques aux normes – l'inverse crée du travail en double.
- L'existant compte plus que le nouveau. Le gain de temps est venu de la mise en ordre de la pratique existante, pas de l'invention de nouveaux processus.
`[À VÉRIFIER : s'il existe des valeurs d'expérience concrètes sur le gain de temps par rapport à quatre procédures séparées (jours d'audit, jours-personnes), merci de les ajouter ici de manière étayée. Je n'ai volontairement indiqué aucun pourcentage, parce qu'il n'est pas étayé.]`
Conclusion
Quatre normes dans un seul système et environ trois mois jusqu'à la certification – c'est possible, mais ce n'est pas une promesse valable pour toute entreprise. La condition préalable était une entreprise qui travaillait déjà de manière structurée, et la décision de penser les quatre normes ensemble dès le départ.
Ce qui se généralise, c'est la logique sous-jacente : la structure de base commune des normes n'est pas de la théorie, mais un véritable levier. Qui l'exploite paie le travail de fond une fois au lieu de quatre. Et qui prend sa propre entreprise comme terrain d'essai devrait le déclarer – c'est pourquoi la déclaration d'intérêt figure en haut de cet article et non en petits caractères.
Votre prochaine étape : calculez dans le calculateur de coûts le prix groupé pour vos normes – à partir de la deuxième norme 149 au lieu de 179 euros par mois – ou découvrez comment se construit un système de management intégré.
Pour aller plus loin :
