共用、補強與不可互換
| 類別 | 項目 |
|---|---|
| 可共用 | 文件與紀錄管制、內部稽核、管理審查、矯正措施、教育訓練紀錄、部分供應商管理 |
| 需補強 | 供應商管理加上模型版本、資料使用與變更通知；資安事件流程加上 AI 事件分流 |
| 必須新建 | AI 政策、AI 系統清冊、AI 風險與影響評估、資料品質與模型驗證、生命週期程序 |
| 不可直接互換 | 個資影響評估 ≠ AI 系統影響評估（可共用事實，但內容與核准分開）；27001 證書不涵蓋 AI 管理系統 |
顧問應該交付什麼
- 整合差距表：逐條列出共用、補強與新建的項目
- 共用骨架下的 AI 專屬程序與紀錄格式
- 三個管理系統共用的內部稽核與管理審查安排
怎麼驗收
整合差距表中每一個「共用」都能指出既有文件；每一個「新建」都有負責人與完成證據；三套系統的內部稽核與管理審查紀錄沒有重複或矛盾。
不能保證的事
共用能縮短時程，但不代表 27001 的驗證結果延伸到 42001；兩者仍各自接受驗證。
積穗科研的做法
以下是積穗科研自己的說明，請用上方的問題同樣檢驗我們，也檢驗其他顧問。
- 誰主導：副總、董事級顧問全程輔導，不外包
- 專案節奏（服務頁所列）：範圍與盤點 2–4 週、風險與影響評估 3–5 週、制度建置 6–10 週、稽核與驗證 4–8 週；已有 ISO 27001 的組織通常 4–6 個月可達驗證，從零開始約 6–9 個月
- 分工：制度與證據鏈由我們建立；法律意見由合作律師出具；驗證由依 ISO/IEC 42006 認可的驗證機構執行，我們陪同、不代審
- 已完成的工作（受保密協議限制、匿名）：製造業自動化企業建立 AI 系統清單、完成 AI 風險分級，針對高風險應用建立演算法審查流程與人類監督機制，取得 ISO 42001 驗證
- 公開實績（客戶授權公開）：ISO 27001 有訊光資訊科技、旺矽科技、卓元科健、超核心健身中心；ISO 27001 與 ISO 27701 整合有超核心健身中心（Hypercore 案例）
- 時程：已有 ISO 27001 的組織導入 42001，通常 4–6 個月可達驗證
相關問題
- 已有 ISO 27001，導入 ISO 42001 要多久？ 兩者高階結構相同，大部分條款可共用；新增 AI 政策、AI 系統清冊、AI 風險與影響評估及 AI 專屬控制。已有 27001 的組織通常 4–6 個月可達驗證；從零開始約 6–9 個月。ISO 42001 導入輔導
- 個資影響評估可以直接當 AI 影響評估嗎？ 不行直接替代。兩者可以共用事實，但 AI 系統影響評估要看對個人、群體與社會的影響，內容與核准程序要分別完成。台灣 ISO 27701 顧問怎麼選
合規要三者兼顧，顧問的價值在整合
CRA、TISAX、ISO 27701、AI Act 都不是單一技術問題，而是流程、資安技術、法遵三件事同時成立才算完成。只補其中一塊，另外兩塊的缺口會在稽核、通報或客戶盡職調查時浮現，最後要重做。
| 面向 | 要回答的問題 | 只補這一塊時常見的缺口 |
|---|---|---|
| 流程（管理系統） | 誰負責、做什麼、何時做，做跟沒做的證據在哪、怎麼持續改善 | 技術工具到位，但沒有人定期執行，稽核時拿不出紀錄 |
| 資安技術 | 控制措施怎麼設計、怎麼驗證有效 | 文件寫得完整，但系統實際上沒有做到 |
| 法遵 | 適用哪條法規、角色是什麼、期限與罰則為何 | 做了一套控制，卻對錯法規或角色，義務沒有涵蓋到 |
積穗科研的顧問團隊同時涵蓋這三個面向，從法規判定、流程設計到技術控制一次規劃，同一套證據對應多個法規與客戶要求。