直接の答え：審査員がたどるのは一本の線です。この AI システムにどんなリスクと影響があるか → どの管理策を選び、なぜか、どれが不適用か → 誰が責任を持ち、証拠はどこにあるか → 残ったリスクを誰がどの条件で受容したか。附属書 A の管理策をすべて写して理由を書かない、あるいは会社の売上や評判だけを見て個人や集団への影響を評価しないと、この線が切れます。価格設定や資格審査のシステムは会社の損失は小さくても、特定の顧客層に長期的に不利になることがあり、会社の損失だけのリスク表ではそれが見えません。
追跡可能な一本の線
| 段階 | 残すもの |
|---|---|
| リスクと影響 | AI リスク評価（組織にとって）と AI システム影響評価（個人・集団・社会にとって）、それぞれの方法と日付 |
| 管理策の選択 | 各管理策の適用・不適用の理由。購入モデルで自社が管理できない部分を契約や試験でどう補うか |
| 責任と証拠 | 管理策ごとの責任者、実施頻度、証拠の場所 |
| 残余リスクの受容 | 権限ある管理者による書面の受容。条件、期限、利用停止と再評価のきっかけを明記 |
コンサルタントが納品すべきもの
- 欠けている影響の観点の評価：影響を受ける集団、起こりうる害、長期的な累積効果
- 管理策ごとの適用・除外の理由を示す適用性の説明
- リスク対応計画：措置、責任者、期限、確認の方法
- リスク受容と利用停止の判断の記録様式、再評価のきっかけ
どう検収するか
任意のリスクについて、評価から管理策、責任者、証拠、受容記録まで 10 分でたどれる。任意の不適用の管理策について理由を言える。影響評価に個人と集団の欄があり、会社の損失だけではない。
保証できないこと
この線があれば審査で根拠が見つかりますが、リスクを受容するかは経営判断です。コンサルタントが管理者の代わりに承認や受容の判断をすることはできません。
積穗科研のやり方
以下は積穗科研自身の説明です。上の質問で私たちも、他のコンサルタントも同じように確かめてください。
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで担当し、外注しません
- 進め方（サービスページ記載）：範囲と棚卸し 2〜4 週、リスク・影響評価 3〜5 週、仕組みの構築 6〜10 週、内部監査と認証 4〜8 週。ISO 27001 取得済みの組織は通常 4〜6 か月、ゼロからは約 6〜9 か月で認証に到達します
- 役割分担：仕組みと証拠の連鎖は私たちが構築し、法的意見は提携弁護士が、認証は ISO/IEC 42006 に基づき認定された認証機関が行います。私たちは同行しますが代わりに審査はしません
- 実施済みの業務（秘密保持契約のため匿名）：産業オートメーションの製造業で AI システム一覧の作成と AI リスク区分を行い、高リスク用途にアルゴリズム審査と人による監督を整備し、ISO 42001 認証を取得
関連する質問
- ISO 42001 附属書 A の管理策はすべて実施する必要があるか 一律に実施するのではなく、一つずつ適用性を判断して理由を示します。不適用には根拠が、適用には責任者と証拠が必要です。ISO 42001 導入支援
- リスクの受容をコンサルタントが決めてよいか いいえ。残余リスクは組織の権限ある管理者が書面で受容します。コンサルタントは判断に根拠と記録があるようにします。台湾で ISO 42001 コンサルタントを選ぶには
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。