直接の答え：ISO/IEC 42001 と ISO 27001 は同じ上位構造を持ち、箇条 4、5、7、9、10 の多くは共用できます。文書管理、内部監査、マネジメントレビュー、是正処置、供給者管理の一部です。追加が必要なのは AI 特有の部分で、AI 方針、AI システム一覧、AI リスク評価と AI システム影響評価、データ品質、モデルの検証、ライフサイクルの証拠です。ISO 27701 の処理記録は AI システム一覧のデータ索引として使えますが、個人データの影響評価を AI システム影響評価としてそのまま使うことはできません。
共用、強化、置き換え不可
| 区分 | 項目 |
|---|---|
| 共用 | 文書と記録の管理、内部監査、マネジメントレビュー、是正処置、教育の記録、供給者管理の一部 |
| 強化 | 供給者管理にモデルの版、データの利用、変更の通知を加える。セキュリティインシデント手順に AI インシデントの振り分けを加える |
| 新設 | AI 方針、AI システム一覧、AI リスク・影響評価、データ品質とモデルの検証、ライフサイクル手順 |
| 置き換え不可 | 個人データの影響評価は AI システム影響評価ではない（事実は共用できるが内容と承認は別）。ISO 27001 の認証は AI マネジメントシステムを含まない |
コンサルタントが納品すべきもの
- 箇条ごとに共用、強化、新設を示す統合ギャップ表
- 共用の骨格の中での AI 特有の手順と記録様式
- 三つのマネジメントシステムで共用する内部監査とマネジメントレビューの段取り
どう検収するか
ギャップ表の「共用」はすべて既存文書を指せる。「新設」はすべて責任者と完了の証拠がある。三つのシステムの内部監査とマネジメントレビューの記録に重複や矛盾がない。
保証できないこと
共用で期間は短くなりますが、ISO 27001 の認証が ISO 42001 に及ぶわけではなく、それぞれ認証を受けます。
積穗科研のやり方
以下は積穗科研自身の説明です。上の質問で私たちも、他のコンサルタントも同じように確かめてください。
- 誰が担当するか：副社長・取締役クラスのコンサルタントが最初から最後まで担当し、外注しません
- 進め方（サービスページ記載）：範囲と棚卸し 2〜4 週、リスク・影響評価 3〜5 週、仕組みの構築 6〜10 週、内部監査と認証 4〜8 週。ISO 27001 取得済みの組織は通常 4〜6 か月、ゼロからは約 6〜9 か月で認証に到達します
- 役割分担：仕組みと証拠の連鎖は私たちが構築し、法的意見は提携弁護士が、認証は ISO/IEC 42006 に基づき認定された認証機関が行います。私たちは同行しますが代わりに審査はしません
- 実施済みの業務（秘密保持契約のため匿名）：産業オートメーションの製造業で AI システム一覧の作成と AI リスク区分を行い、高リスク用途にアルゴリズム審査と人による監督を整備し、ISO 42001 認証を取得
- 実名事例（顧客の許諾を得て公開）：ISO 27001 の支援実績には訊光、MPI Corporation、卓元科健（Cho Yuan）、超核心フィットネスセンター（Hypercore）があり、ISO 27001 と ISO 27701 の統合は超核心フィットネスセンターで実施しました（Hypercore の事例）
- 期間：ISO 27001 取得済みの組織は通常 4〜6 か月で ISO 42001 認証に到達
関連する質問
- ISO 27001 があれば ISO 42001 の導入にどれくらいかかるか 上位構造が同じで多くの箇条を共用できます。AI 方針、AI システム一覧、AI リスク・影響評価、AI 特有の管理策を追加します。ISO 27001 取得済みなら通常 4〜6 か月、ゼロからは約 6〜9 か月です。ISO 42001 導入支援
- 個人データの影響評価を AI 影響評価として使えるか そのまま置き換えることはできません。事実は共用できますが、AI システム影響評価は個人、集団、社会への影響を見るもので、内容と承認は別に行います。台湾で ISO 27701 コンサルタントを選ぶには
コンプライアンスは三位一体、コンサルタントの価値は統合にある
CRA、TISAX、ISO 27701、AI Act はどれも単独の技術課題ではなく、プロセス・セキュリティ技術・法令遵守の三つが同時に成立して初めて完成します。一つだけ補っても、残り二つの欠落は審査・通報・顧客デューデリジェンスの場面で露呈し、結局やり直しになります。
| 側面 | 答えるべき問い | その側面だけ補った場合によくある欠落 |
|---|---|---|
| プロセス（マネジメントシステム） | 誰が、何を、いつ行うか。実施の証拠はどこにあり、どう継続的に改善するか | ツールは揃っているが定期的に運用する人がおらず、審査時に記録が出せない |
| セキュリティ技術 | 管理策をどう設計し、有効性をどう検証するか | 文書は整っているが、システムが実際にはそのとおり動いていない |
| 法令遵守 | どの法規が適用され、自社の役割は何か。期限と罰則は何か | 管理策は作ったが、法規や役割を取り違えており、義務が網羅されていない |
積穗科研のコンサルティングチームはこの三つの側面を同時にカバーし、法規判定からプロセス設計、技術的管理策までを一括で設計します。一つの証拠セットで複数の法規と顧客要求に対応できます。