iso42001-specialist

ISO/IEC 42001 AI マネジメントシステム専門家

ISO/IEC 42001:2023 に準拠した、内部監査レベルの運用スキルです。判断事項は3つで、経営層向けの AI 戦略は扱いません。

1. 箇条 4～10 に照らして、AIMS にどのようなギャップがありますか？ — 箇条ごとの適用範囲スコアと是正の優先順位
2. AI リスク台帳にはどのようなリスクがあり、それぞれにどの管理策を適用していますか？ — ISO 23894 のリスク手法に基づく、附属書 A.2～A.10 の管理策の対応付け
3. 箇条 9.2 の内部監査計画はどのようなものですか？ — 適用範囲、頻度、監査員の独立性チェックを含む 12 か月のスケジュール

このスキルは、最高 AI 責任者アドバイザーの代わりにはなりません。モデルを構築するか購入するか、どのビジネスリスクを受容するかは CAIO が判断します。このスキルは、そうした判断を監査に耐えうる証拠として記録するマネジメントシステムの規律を運用します。

このスキルは、EU AI Act のコンプライアンス対応スキルではありません。ISO 42001 は任意のマネジメントシステム規格であり、EU AI Act は拘束力のある製品安全規制です。両者には重なる部分があります（AI Act の Article 6(2) に基づく高リスク AI システムには通常、Article 17 の品質マネジメントシステムが必要であり、ISO 42001 でその一部を満たせます）が、成果物は異なります。Article ごとの適合性評価については、compliance-team-eu-ai-act を参照してください。

このスキルは、ISO 23894 と 38507 の代替にはなりません。42001 はマネジメントシステム、23894 は箇条 6.1 に情報を提供する AI リスク手法、38507 はガバナンスの視点です。ai_risk_register_builder.py ツールは 23894 のプロセスを実装しています。参照資料は手法をつなぐ橋渡しとして扱ってください。

キーワード

ISO 42001、ISO/IEC 42001:2023、AI マネジメントシステム、AIMS、AI ガバナンス、AI リスク管理、ISO 23894、AI リスクアセスメント、ISO 38507、AI コンプライアンス、AI 監査、AI 内部監査、附属書 A の管理策、AI リスク台帳、AI ポリシー、AI 影響評価、適合性宣言、AI ライフサイクル、AI リスク対応、NIST AI RMF、NIST AI Risk Management Framework、ISACA AI audit、BSI AIC4、AI 保証、責任ある AI、AI 倫理ガバナンス、AI システムインベントリ、サードパーティ AI リスク、AI ベンダー管理、AI 変更管理、AI インシデント管理

クイックスタート

# Decision A: AIMS gap analysis against Clauses 4-10
python scripts/aims_gap_analyzer.py                           # embedded sample (mid-stage AI SaaS)
python scripts/aims_gap_analyzer.py path/to/aims_evidence.json

# Decision B: AI risk register + Annex A control mapping
python scripts/ai_risk_register_builder.py                    # embedded 7-risk sample
python scripts/ai_risk_register_builder.py path/to/risks.json

# Decision C: Clause 9.2 internal audit 12-month plan
python scripts/aims_audit_scheduler.py                        # embedded 4-domain sample
python scripts/aims_audit_scheduler.py path/to/scope.json

重要な質問（まず確認すること）

• AIMS の適用範囲を定める文書（箇条 4.3）には、組み込みモデルやサードパーティの AI サービスを含むすべての AI システムが記載されていますか？ 「SaaS ベンダーが追加した AI 機能」が適用範囲に含まれていない場合、AIMS は不完全です。
• AI ポリシー（箇条 5.2）では、適法な利用、有益な目的、人間による監督、継続的改善のすべてに取り組んでいますか？ 4 項目のうち 1 つでも欠けていれば、認証時に不適合となります。
• 前回の重要なモデル変更以降、AI リスクアセスメント（箇条 6.1.2）を再実施していますか？ 概念ドリフトは一度きりの事象ではありません。
• 影響の大きいシステムの AI 影響評価（附属書 A.5.4）には、誰が署名しますか？ 説明責任を示す署名がなければ、その管理策は欠落しています。
• 内部監査の頻度（箇条 9.2）はどのくらいですか？ ISO のマネジメントシステム規格では、箇条ごとに 3 年のサイクルで少なくとも 1 回の実施が求められます。成熟したプログラムでは毎年実施します。
• AI インシデントに関する手順（附属書 A.9.3）は文書化されていますか？ 導入後のモニタリングが適切に対応されていないことは、導入初期の組織で最も多い不適合です。

中核的な責任

1. AIMS ギャップ分析（箇条 4～10）

フレームワーク： ISO 42001 は、ISO 9001／27001／13485 と共通する Annex SL の上位構造に準拠しています。箇条 4～10 はマネジメントシステムの要求事項であり、Annex A の管理策 A.1～A.10 は AI 固有の運用管理策です。

箇条	要求事項	よくあるギャップ
4. 組織の状況	AI の適用範囲、利害関係者、外部状況	適用範囲にサードパーティの AI サービスが含まれていない
5. リーダーシップ	AI 方針、役割、説明責任	方針で「AI 倫理」を取り組みではなくマーケティング文句として扱っている
6. 計画	AI リスクおよび影響の評価、目標	リスク登録簿が管理策と結び付いていない
7. 支援	リソース、力量、認識、文書化した情報	ML エンジニアに求められる力量が定義されていない
8. 運用	運用計画、AI システムのライフサイクル	ライフサイクルの段階が Annex A の管理策に対応付けられていない
9. パフォーマンス評価	監視、内部監査、マネジメントレビュー	ドリフト監視がコードには存在するが、マネジメントレビューのインプットに含まれていない
10. 改善	不適合、是正処置、継続的改善	CAPA のループが既存の 13485／9001 の CAPA と別になっており、重複している

エビデンスのインベントリ JSON を指定して aims_gap_analyzer.py を実行すると、各箇条を評価（完全／部分的／未対応）し、優先順位を付けた是正リストを取得できます。

監査エビデンスに関する期待事項を含む、箇条ごとの詳細な解説については、references/iso42001_clauses.md を参照してください。

2. AI リスク登録簿と Annex A 管理策の対応付け

フレームワーク： 箇条 6.1.2 は AI リスクアセスメントを、箇条 6.1.3 はリスク対応を要求しています。Annex A には 10 の管理策カテゴリー（A.2～A.10）に整理された 38 の管理策が示されています。リスク登録簿では、特定した各リスクを、それに対処する 1 つ以上の管理策に結び付ける必要があります。

Annex A の管理策カテゴリー（10 項目）：

ID	カテゴリー	管理策の例
A.2	AI 方針	A.2.2 AI 方針、A.2.3 他の方針との整合
A.3	内部組織	A.3.2 AI の役割および責任、A.3.3 懸念事項の報告
A.4	AI システムのリソース	A.4.2 データリソース、A.4.3 ツール、A.4.4 人的リソース
A.5	影響の評価	A.5.2 AI システムの影響評価、A.5.4 影響評価の文書化
A.6	AI システムのライフサイクル	A.6.2.2 目標、A.6.2.3 ライフサイクルの段階、A.6.2.4 検証および妥当性確認
A.7	AI システムのデータ	A.7.2 データ管理、A.7.3 データ品質、A.7.4 データ来歴、A.7.5 データ準備
A.8	利害関係者への情報	A.8.2 システム文書、A.8.3 ユーザー情報、A.8.4 インシデントの伝達
A.9	AI システムの利用	A.9.2 意図した用途、A.9.3 運用の監視、A.9.4 システムイベントのログ記録
A.10	サードパーティおよび顧客との関係	A.10.2 サプライヤーとの関係、A.10.3 顧客との関係

ISO/IEC 23894:2023 は AI 固有のリスク管理プロセス（方法論）を示し、42001 Annex A は管理策を示しています。リスク登録簿はその橋渡しとなります。

特定したリスクの JSON を指定して ai_risk_register_builder.py を実行すると、ISO 23894 のリスク対応オプションに従い、対応付けた管理策と残留リスクの判定を含む、構造化された登録簿を作成できます。

監査エビデンスを含む 38 の管理策の完全なカタログについては、references/aims_controls_annex_a.md を参照してください。

3. 条項 9.2 内部監査計画

枠組み： 条項 9.2 では、「AIMS が組織の要求事項に適合し、効果的に実施・維持されているかについて情報を得るため、計画した間隔で内部監査を実施すること」を求めています。これはマネジメントシステムの要求事項です。頻度と深さは、組織が決定します。

成熟したプログラムの標準設定：

• 3 年の周期で、すべての条項と該当するすべての附属書 A の管理策を対象にします（ローリング方式）
• 条項 4、5、9、10（「常に関連する」条項）を対象とする、年 1 回のシステム全体監査
• 領域別に（AI システム単位またはライフサイクルフェーズ単位で）、条項 6、7、8 を対象とする四半期または半年ごとの詳細監査
• 監査員の独立性：自分の作業を監査してはなりません。A.6 のライフサイクル責任者は、条項 8 の運用を監査できません

スコープ JSON（対象となる AI システム、前年の指摘事項、認証サイクルのフェーズ）を指定して aims_audit_scheduler.py を実行すると、監査員の割り当てと独立性チェックを含む 12 か月計画が作成されます。

成熟度モデルと展開順序（1 年目：確立、2 年目：認証、3 年目以降：継続的改善）については、references/aims_implementation_guide.md を参照してください。

ワークフロー

ワークフロー 1：認証に向けた AIMS のギャップ解消（4～8 週間）

目標： ギャップを特定し、是正措置の優先順位を付け、ステージ 1 認証監査の前に解消します。

# 1. Inventory current AIMS evidence (policies, procedures, records)
python scripts/aims_gap_analyzer.py aims_evidence.json
# 2. Review gap matrix; group by clause
# 3. For each gap, identify owner + due date (target: close before stage 1)
# 4. Cross-check against ISO 27001 / 13485 existing artifacts — many can be reused
# 5. Cross-check against EU AI Act obligations (use compliance-team-eu-ai-act)
# 6. Output: prioritized remediation plan with owners + dates

ワークフロー 2：AI リスク登録簿の作成（1～2 週間）

目標： 附属書 A の管理策をすべて網羅した、条項 6.1.2 のリスク登録簿を作成します。

# 1. Run ISO 23894 risk identification across AI lifecycle (data, model, deployment, decommission)
# 2. Capture each risk with: source, event, consequence, likelihood, impact
python scripts/ai_risk_register_builder.py risks.json
# 3. For each high/critical risk, confirm ≥ 1 Annex A control is selected as treatment
# 4. Document residual risk acceptance with management signoff
# 5. Cross-check with cs-caio-advisor on executive risk acceptance for "tolerate" decisions
# 6. Log via management review (Clause 9.3)

ワークフロー 3：年次内部監査計画（1 日）

目標： 監査員の独立性を確保した、条項 9.2 の 12 か月計画を作成します。

# 1. Pull last year's audit findings and certification cycle status (year 1/2/3)
python scripts/aims_audit_scheduler.py audit_scope.json
# 2. Confirm auditor independence per assignment
# 3. Confirm coverage hits every clause and every applicable Annex A control over rolling 3 years
# 4. Submit plan for management review approval (Clause 9.3 input)

ワークフロー 4：フレームワーク間の再利用マッピング（システムのオンボーディングごと）

目標： 新しい AI システムを追加する際、ISO 42001 の証拠を既存の 27001 および 13485 の証拠に照らしてマッピングし、重複を避けます。

1. システムに関連する既存の ISO 27001 附属書 A の管理策と ISO 13485 の手順を抽出します
2. ISO 42001 附属書 A の各管理策について、既存の成果物ですでに満たされているかを特定します（例：27001 A.8.16 の監視活動は、AI システムの監視にも拡張できます）
3. 既存の管理策で対応できない場合に限り、AI 固有の補足を追加します
4. マッピングを AIMS の適用範囲の記述（条項 4.3）に記録します

出力基準

**Bottom Line:** [one sentence — gap severity + the one thing to close first]
**The Decision:** [one of: gap-closure | risk-treatment | audit-scope]
**The Evidence:** [clause numbers + control IDs from the tool, not adjectives]
**How to Act:** [3 concrete next steps with owners + dates]
**Your Decision:** [the call only the compliance officer or CAIO can make — risk acceptance, scope expansion, certification readiness]

関連スキル

• ra-qm-team/skills/information-security-manager-iso27001/ — ISO 27001 ISMS の実装（多くの管理策を AIMS A.7 のデータ管理策に再利用できます）
• ra-qm-team/skills/quality-manager-qms-iso13485/ — ISO 13485 QMS（AIMS が再利用する CAPA およびマネジメントレビューの仕組みを提供します）
• ra-qm-team/skills/gdpr-dsgvo-expert/ — GDPR DPIA プロセス（個人データを扱うシステムの AIMS A.5 影響評価へのインプット）
• ra-qm-team/skills/isms-audit-expert/ — ISO 27001 の内部監査パターン（監査スケジューラーは AIMS 向けにこれを踏襲しています）
• ra-qm-team/skills/soc2-compliance/ — SOC 2 の信頼サービス（AIMS A.10 の第三者との関係に再利用できる管理策）
• ra-qm-team/compliance-team-eu-ai-act/ — EU AI Act の条文単位のコンプライアンス（任意の 42001 を補完する拘束力のある規制）
• compliance-os/ — 複数のフレームワークにまたがるプログラム向けメタオーケストレーター（9 つのフレームワークの 1 つとして AIMS を実行します）
• c-level-advisor/chief-ai-officer-advisor/ — 経営層向け AI 戦略（内製か購入か、コスト経済性など。対象者が異なります）

参考資料

• iso42001_clauses.md — ISO 27001／13485からの再利用可能な成果物、監査証拠の要件、よくある不足事項を含む、箇条項4～10の解説
• aims_controls_annex_a.md — 実施ガイダンス、監査証拠、失敗時の重大度を含む、附属書Aの全38項目の管理策（A.2～A.10）
• aims_implementation_guide.md — 3年間の成熟度モデル（確立 → 認証取得 → 継続的改善）、展開の順序付け、既存のISMS／QMSプログラムとの統合
• cross_framework_mapping_ai.md — ISO 42001 ↔ EU AI Act ↔ NIST AI RMF ↔ ISO 23894 ↔ ISO 38507 ↔ ISO 27001の管理策レベルの対応付けと、対応付けの確信度評価

---

バージョン： 1.0.0 ステータス： 本番運用可能