予算策定期の意思決定ガイド

CRA の複雑さは製品数ではなく、製品シリーズごとのクラスと製品ラインごとのサプライチェーン上の役割の組み合わせで決まります。その組み合わせから、社内工数、コンサルティング、外部評価、継続コストを見積もります。

報告義務は 2026 年 9 月 11 日からすでに適用され、主要義務は 2027 年 12 月 11 日から適用されます。整合規格は重要ですが、正式公示を待ってから始めるのでは間に合いません。

TISAX の予算は ENX 登録料、監査機関の評価費用、コンサルティング費用、社内工数で構成され、評価目標、拠点数、情報セキュリティ管理の成熟度が金額を決めます。

ENX は全体スケジュールを見積もれないとしています。管理できるのは登録、評価、交換という三つのステップの順序です。車載デジタル製品は別途 CRA の規制を受けることがあります。

ISO 27701:2025 は単独で認証を取得できますが、GDPR 準拠と同じではありません。単独導入か ISO 27001 との統合かの二つのルートに沿って、役割、範囲、法規対応、コンサルティング、認証の費用を見積もります。

まず棚卸しと役割の定義、次に管理策の設計、一定期間運用して記録を残してから認証に進みます。個人データの棚卸しは最も過小評価されやすいステップです。

AI Act の高リスク義務は延期されましたが、取り消されてはいません。単独の高リスク AI は 2027 年 12 月 2 日から、製品組み込み型は 2028 年 8 月 2 日から適用されます。ISO 42001 は今すぐ構築できるマネジメントシステムです。

CRA コンサルタントを選ぶときは、製品シリーズごとにクラスを判定し、製品ラインごとにサプライチェーン上の役割を判定できるか、そして法令遵守・プロセス・セキュリティ技術を同時に扱えるかをまず確認します。基準と、そのままコンサルタントに聞ける質問。

TISAX コンサルタントを選ぶときは、評価範囲と評価目標を正しく定義できるか、AL2 と AL3 のどちらを選ぶべきかを正しく判断できるかをまず確認します。車載デジタル製品は CRA も同時に見る必要があります。

ISO 27701:2025 は単独で認証を取得できますが、GDPR 準拠と同じではありません。GDPR と台湾個人情報保護法の両方に対応でき、管理者と処理者を正しく判定できるコンサルタントを選びます。

AI ガバナンスのコンサルタントには、AI Act に基づくリスク分類と役割判定、ISO 42001 による審査可能なマネジメントシステムの構築、データガバナンスとモデル検証への対応が求められます。

ISO 22301 コンサルタントを選ぶときは、事業影響度分析が堅実か、復旧目標が検証済みか、演習が本当に問題を顕在化させるかを見ます。

ERM コンサルタントを選ぶときは、各部門に散在するリスクを取締役会が意思決定できる構造に整理し、重要リスク指標で継続的に監視できるかを見ます。

ISO 56001 と営業秘密のコンサルタントを選ぶときは、イノベーションプロセスを制度化し、立証可能な合理的な秘密管理措置を構築できるかを見ます。

米国は連邦調達で AI サプライヤーに要求し、EU は AI Act と CSA 2.0 草案で規制し、日本は AI 法と AI 事業者ガイドラインで「信頼できる AI」を推進しています。三地域の要求の共通点と 2027 年のスケジュール。

台湾証券取引所の「上場・店頭上場企業リスク管理実務守則」は COSO ERM 2017 と ISO 31000:2018 を参考にしています。予算は組織構造、リスク棚卸しの範囲、開示要件で決まり、スケジュールは取締役会の日程に従います。

ISO 22301 は認証機関による認証が可能です。予算は対象範囲の重要業務と拠点の数、事業影響度分析の深さ、バックアップと災害復旧の技術の現状で決まります。

ISO 56001 は認証可能なイノベーションマネジメントシステム規格です。予算はイノベーションプロセスの適用範囲と、営業秘密保護措置の現状で決まります。