Questo caso studio inizia con una dichiarazione, perché senza di essa non avrebbe alcun valore: sono CEO di Eucerta AG e fondatore di Netgen. Netgen Switzerland è stata quindi il nostro banco di prova – la prima azienda ad aver percorso l'intero iter attraverso la nostra piattaforma, con tutti gli attriti emersi lungo il cammino.
Chi ne deduce che questo caso studio non è un resoconto indipendente di un cliente ha ragione. È qualcosa di diverso: la documentazione di ciò che accade quando si costruiscono quattro norme contemporaneamente come un unico sistema, invece di affrontarle una dopo l'altra. La verifica in sé si è svolta secondo le stesse regole di qualsiasi altro procedimento – stessa norma, stesso metro di giudizio, stesso numero di giornate di audit. Come organizziamo l'indipendenza è spiegato nella pagina Certificazione indipendente.
«Volevamo sapere se la nostra promessa reggesse. Così l'abbiamo verificata prima su noi stessi – e con quattro norme contemporaneamente, perché è proprio questo il caso più difficile.» – Christian Paredes, CEO Eucerta AG
L'azienda e il campo di applicazione
Netgen Switzerland è un'agenzia web e digitale con sede a Zurigo, attiva nell'ambito Technology e Software. Il campo di applicazione riportato nel certificato è: «Soluzioni web su misura per customer experience ottimali nel marketing digitale».
È un caso tipico per un'organizzazione di servizi con quattro temi rilevanti contemporaneamente: la qualità dei progetti nei confronti dei clienti, la sicurezza delle informazioni, perché vengono trattati dati e accessi dei clienti, gli aspetti ambientali di un'attività d'ufficio con infrastruttura IT e l'impiego dell'IA nell'erogazione delle prestazioni. Da qui sono derivate le quattro norme: ISO 9001, ISO 14001, ISO 27001 e ISO 42001.
I fatti sul procedimento
Prima i dati verificabili, perché definiscono il quadro:
- Quattro norme come un unico sistema di gestione integrato: ISO 9001, ISO 14001, ISO 27001, ISO 42001
- Certificazione l'8 maggio 2026, valida fino al 7 maggio 2029
- Numeri di certificato: eca-20260630-001 per la gestione della qualità ed eca-20260818-001 per la gestione ambientale, della sicurezza delle informazioni e dell'IA
- Primo progetto creato nella piattaforma a febbraio 2026, altri a marzo e aprile, tutte e quattro certificate a maggio 2026
- 164 attività distribuite sui capitoli delle norme, 54 documenti nel sistema
Ognuno di questi certificati è verificabile nel registro pubblico su eucerta.org tramite il numero di certificato. Un caso studio i cui certificati non si possono consultare è soltanto un'affermazione.
Circa tre mesi dal primo progetto alla certificazione di tutte e quattro le norme – è il numero del titolo, e ha una condizione: l'azienda lavorava già in modo strutturato. Le norme hanno messo ordine in una prassi esistente, non sostituito una prassi mancante.
Che cosa dice il numero 164 sul modo di lavorare
164 attività sembrano molte, ma sono proprio il motivo per cui quattro norme insieme richiedono meno tempo che singolarmente. Dall'introduzione della struttura di base comune, le quattro norme seguono la stessa impostazione: contesto dell'organizzazione, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni, miglioramento – nello stesso ordine e con contenuti in larga parte identici.
Chi le introduce separatamente scrive questi capitoli quattro volte, conduce quattro programmi di audit interno, tiene quattro riesami della direzione e si fa auditare quattro volte. Il valore aggiunto sostanziale di questa quadruplicazione è nullo – e l'impegno va a scapito dei temi che meritano davvero attenzione. Per un'agenzia che tratta dati e accessi dei clienti, si tratta soprattutto della sicurezza delle informazioni: il rapporto del BSI sulla sicurezza informatica in Germania 2025 indica nella gestione coerente delle proprie superfici di attacco la leva decisiva e attribuisce circa l'80 per cento degli attacchi segnalati alle piccole e medie imprese. In un sistema integrato i capitoli comuni si redigono una sola volta e restano specifiche per norma esattamente le parti che sono realmente diverse: gli aspetti ambientali e il registro degli obblighi legali per la ISO 14001, la valutazione dei rischi e le 93 misure dell'Allegato A per la ISO 27001, la panoramica dei sistemi di IA con le relative valutazioni d'impatto per la ISO 42001.
In quest'ottica i 54 documenti sono il numero più significativo. Quattro sistemi separati avrebbero prodotto, a parità di sostanza, molti più documenti – con il noto problema conseguente che quattro versioni della stessa regola prima o poi divergono.
`[VERIFICARE: se la piattaforma fornisce il numero di documenti di un progetto comparabile a norma singola, qui sarebbe efficace un confronto documentato, ad es. «54 documenti invece di X con quattro sistemi separati». Senza un dato di confronto documentato l'affermazione resta qualitativa, così come è formulata ora.]`
Che cosa ha significato concretamente la ISO 42001 per un'agenzia
La parte più interessante è stata la norma sull'IA, perché è l'ambito in cui esiste meno routine. Per un'agenzia che impiega l'IA nell'erogazione delle prestazioni, la ISO 42001 richiede tra l'altro una panoramica dei sistemi di IA utilizzati, una valutazione dei loro impatti, responsabilità chiare e regole per la gestione dei risultati – compresa la questione di dove decida una persona e non il sistema.
Per l'operatività ciò significa meno tecnologia del previsto e più organizzazione: quali strumenti sono autorizzati? Quali dati dei clienti possono essere inseriti e quali no? Chi verifica i risultati prima che vengano trasmessi ai clienti? Come viene documentato tutto questo?
Queste domande sono anche il motivo per cui la ISO 42001 e l' EU AI Act andrebbero pensati insieme: la norma struttura il modo in cui l'IA viene gestita in modo responsabile, il regolamento stabilisce che cosa è consentito. È in vigore dal 1° agosto 2024, gli obblighi per i modelli di IA per finalità generali si applicano dal 2 agosto 2025, altre fasi seguiranno nel 2026 e nel 2027. Per l'impiego dell'IA nel prodotto, l'esperienza mostra che ne derivano le stesse basi – panoramica dei sistemi, valutazione dei rischi, responsabilità, documentazione. I dettagli sono riportati nelle nostre pagine su ISO 42001 e sull' EU AI Act.
`[VERIFICARE: qui sarebbe prezioso un esempio concreto e approvato tratto dal procedimento Netgen – ad esempio una regola sulla gestione dei dati dei clienti negli strumenti di IA, nata dalla costruzione dell'AIMS. Solo previa approvazione di Netgen, poiché descrive l'operatività.]`
Che cosa succede tra un audit e l'altro
La parte che nei casi studio manca quasi sempre è la più importante: un certificato vale tre anni dalla data dell'audit – nel caso di Netgen quindi fino al 7 maggio 2029. In questi tre anni si decide se il sistema vive o prende polvere in un raccoglitore.
A tale scopo è prevista la manutenzione continua nella piattaforma invece della rianimazione prima dell'audit successivo: attività con scadenze, documenti con responsabili, un programma di audit interno su tutte e quattro le norme e un riesame della direzione che sia una base decisionale per la direzione aziendale e non un verbale per l'auditor. Chi non vuole occuparsene in prima persona lavora con un partner della nostra rete di partner in qualità di auditor interno – da noi chiamato «Kümmerer».
`[VERIFICARE: stato della fase di sorveglianza presso Netgen alla data di pubblicazione (11/11/2026) – sono già stati svolti audit interni o un riesame della direzione nel nuovo ciclo? Proposta: aggiungere una frase con lo stato effettivo, così la sezione diventa solida invece che programmatica.]`
Che cosa ne abbiamo tratto per altri progetti
Da allora tre osservazioni si sono confermate in altri procedimenti:
- Il campo di applicazione è la decisione più costosa all'inizio. Con quattro norme determina l'impegno moltiplicato per quattro.
- L'ordine di lavoro batte la velocità. Prima i capitoli comuni, poi le parti specifiche per norma – al contrario si crea lavoro doppio.
- Ciò che esiste conta più di ciò che è nuovo. Il guadagno di tempo è nato dal mettere ordine nella prassi esistente, non dall'inventare nuovi processi.
`[VERIFICARE: se esistono dati di esperienza concreti sul risparmio di tempo rispetto a quattro procedimenti separati (giornate di audit, giornate-uomo), integrarli qui con relativa documentazione. Non ho volutamente indicato alcuna percentuale, perché non è documentata.]`
Conclusione
Quattro norme in un unico sistema e circa tre mesi fino alla certificazione – è possibile, ma non è una promessa valida per ogni azienda. Il presupposto era un'impresa che già lavorava in modo strutturato e la decisione di pensare le quattro norme insieme fin dall'inizio.
Ciò che si può generalizzare è la logica che sta dietro: la struttura di base comune delle norme non è teoria, ma una leva reale. Chi la sfrutta paga il lavoro di base una volta invece di quattro. E chi usa la propria azienda come banco di prova dovrebbe dichiararlo – per questo la dichiarazione in questo articolo sta all'inizio e non nelle note in calce.
Il vostro prossimo passo: calcolate nel calcolatore dei costi il prezzo a pacchetto per le vostre norme – dalla seconda norma 149 invece di 179 euro al mese – oppure guardate com'è strutturato un sistema di gestione integrato.
Approfondimenti:
