è una materia abbastanza complessa, che si interseca anche con la gestione della privacy e non solo, certificati o meno, credo che una politica, un manuale e delle procedure siano l'impianto minimo, il fatto che nessuno abbia fatto nulla di particolare (il classico fanno tutti così) non mi pare...