ISO 27001は情報セキュリティマネジメントシステムの標準規格規格です。一方、ISO 42001はAIマネジメントシステムの標準規格であり、特にAIに関するガバナンスと運用管理策を網羅しています。これら2つの規格は相互に補完し合う関係にあり、AIを活用する企業にとっては、いずれか一方だけでなく、通常は両方の規格が必要となります。
条項ごとのワークフロー
ISO 42001の各条項に対応する運用ワークフローが、あらかじめプラットフォームに組み込まれています。
付属書Aの管理策
お客様のAIシステムに紐づけられ、継続的に監視される運用コントロールカタログ。
継続的な証跡収集
監査証拠はAIMSの稼働に伴って自動的に記録され、認証のために後から再構成されることはありません。
クロスフレームワークでの再利用
ISO 42001の認証実績は、EU AI法およびNIST AI RMFの要件の一部を満たしています。
内部監査に対応
規格の頻度（ケイデンス）要件に準拠した、インサイド監査（箇条9.2）のワークフロー。
認定資格パス
事前監査の準備状況評価と、認証機関にそのまま提出可能な証拠パッケージの作成。
ISO 42001の各条項の導入において、監査証跡は事後的に再構築するのではなく、継続的に収集されます。
ISO 42001の条項別解説：AIマネジメントシステム（AIMS）に実際に求められる対応とは
ISO 42001は、標準的なISOマネジメントシステムテンプレート（箇条書き4〜10）に加えて、附属書Aの管理策で構成されています。実務は、主に以下の6つの実務領域に分類されます。
箇条書き 4.3 - 適用範囲。AIマネジメントシステムの範囲（どのAIシステム、どの事業部門、どのライフサイクル段階を含むか）を定義します。多くのプログラムでは、適用範囲を狭く定義しがち（顧客向けのAIのみなど）であり、後に審査員から社内でのAI利用について指摘を受けた際に、範囲を拡大せざるを得なくなります。
箇条書き 6.1.3 - リスク対応。AI固有のリスク評価と対応計画を策定し、どのリスクを低減、受容、移転、または回避するかについての意思決定を文書化します。これは、箇条書き 6.1.2のリスク評価および附属書A.5の管理策と密接に関連しています。
箇条書き 7 - 支援（資源、妥当性、認識、コミュニケーション、文書化した情報）。運用の基盤となる領域です。誰が責任を負うのか、どのような教育訓練を受けるのか、AI関連のコミュニケーションがどのように流れるのか、文書化された情報がどのように管理されるのかを定義します。
箇条書き 8.3 - 運用の計画及び管理。AIの開発、導入、および監視が実際にどのように機能するか（変更管理、構成管理、バージョン管理、導入ゲートなど）を定義します。
箇条書き 9 - パフォーマンス評価（監視、内部監査、マネジメントレビュー）。AIMS（AIマネジメントシステム）の目標に対するAIシステムのパフォーマンスの継続的な監視、定められた頻度での内部監査、およびマネジメントレビューによる継続的な改善プロセスを実施します。
附属書 A - 管理策。詳細な管理策のセットです（A.5 リスクマネジメント、A.6 リスク対応、A.7 影響評価、A.8 第三者による利用、A.9 データの品質など）。これらの管理策は、具体的な業務プロセスに関連付けられています。
規格 | 対象範囲 | 監査タイプ | ステータス |
|---|---|---|---|
ISO 42001 | AIマネジメントシステム (AIMS) | 認証可能 | 2023年発行、認証の受付開始 |
ISO 27001 | 情報セキュリティマネジメント | 認証可能 | 普及期、広く普及 |
ISO 23894 | AIリスクマネジメントフレームワーク | ガイダンス（認証不可） | 2023年発行、ISO 42001を補完 |
欧州AI法 (EU AI Act) | EUにおけるAI規制への適合 | 適合性評価（高リスク対象） | 段階的に施行中 |
NIST AI RMF | 自主的なAIリスクマネジメント | 自主的な自己評価 | 2023年発行、プロファイルを更新 |
私たちは、お客様が答えを見つけるお手伝いをします
24時間以内にご連絡いたします
その他のソリューション
当社の製品群
組織がAIを採用し、管理し、監視する能力を、企業レベルの信頼性で強化します。規模で運営する規制対象の組織向けに構築されています。