ISO/IEC 42001に向けた準備｜ISO27001との違いと着手順

何が要求されるのか

• AI方針の策定と経営承認
• AIリスクおよび影響評価の手順
• AIライフサイクル全体の管理責任
• 供給者（AIベンダー）管理
• 内部監査とマネジメントレビュー

規格が求める「人間の関与」の本質

ISO42001を読み込むと、随所に「human oversight（人間による監督）」という言葉が登場します。これは単にAIの出力を人がチェックするという表層的な意味ではなく、AIがどのような判断を任され、どこで人間が介入できる余地を残すのかを、組織として設計し文書化しておくことを意味します。

認証取得を目指すある企業の準備会議に同席した際、印象的だったのは「うちのAIはすべて人がチェックしているから問題ない」という発言に対して、監査経験のあるメンバーが「では、チェックしている人がどのような基準で承認・却下を判断しているのか、言葉にできますか」と問い返した場面です。多くの現場担当者は経験と勘でAIの出力の妥当性を判断しており、その判断基準が言語化されていませんでした。この言語化こそが、ISO42001準備の最も骨の折れる部分です。

ISO27001との違い

ISO27001が情報の機密性・完全性・可用性を対象とするのに対し、ISO42001は公平性・透明性・説明可能性・人間による監督といったAI固有の論点を扱います。両者は補完関係にあり、情報セキュリティマネジメントシステムの土台の上にAIマネジメントシステムを積み上げるイメージで進めると効率的です。

ただし注意すべきは、ISO27001の統制がそのままISO42001の要求を満たすわけではないという点です。例えばアクセス権限の管理はISO27001でも重視されますが、ISO42001ではさらに「そのAIが誰の権利や機会に影響を与えうるか」という視点が加わります。採用選考にAIを使う場合、応募者という社外のステークホルダーへの影響評価が必要になり、これは従来の情報セキュリティの枠組みでは十分にカバーされていません。

最初に作る3つの文書

• AI方針書
• AI資産の棚卸表
• AIリスク・影響評価シート

現場が抱く「認証疲れ」への向き合い方

ISO27001の運用経験がある企業ほど、ISO42001の準備に対して「またか」という疲労感を現場が抱きやすい傾向があります。監査対応の書類作成に追われてきた担当者にとって、新しい規格はさらなる負担増としか映らないこともあります。

この疲労感を軽減するために効果的なのは、既存の文書体系との重複を丁寧に整理し、「新たに作る文書」を最小限に絞り込むことです。ある企業では、既存のリスク管理台帳にAI固有の評価項目を追加する形で対応し、ゼロから新しい台帳を作ることを避けました。規格への適合を目的化するのではなく、既存の仕組みを賢く拡張するという発想の転換が、現場の納得感を大きく左右します。

供給者管理で見落とされがちな視点

AIベンダー管理というと、契約書のセキュリティ条項の確認に終始しがちですが、ISO42001が求めるのはもう一段深い確認です。そのAIモデルの学習データの出所、バイアスに関する評価の有無、ベンダー側でのモデル更新時に自社への通知があるかどうかなど、技術的な透明性に踏み込んだ確認が必要になります。

多くの中堅企業にとって、これはベンダーとの力関係の問題でもあります。大手クラウドベンダーに対して細かい情報開示を求めても、テンプレート的な回答しか得られないことが少なくありません。ここで重要なのは、完璧な回答を得ることを目指すのではなく、「どこまで確認したが、どこから先は確認できなかった」という事実を正直に記録に残すことです。これは監査においても誠実な姿勢として評価されます。

内部監査員に求められる新しいスキル

• AIモデルの基本的な仕組み（学習・推論・ファインチューニング）の理解
• バイアスや公平性に関する評価指標の基礎知識
• 現場担当者の「勘」を言語化させるヒアリング力
• 技術部門と非技術部門の橋渡しをするコミュニケーション能力

経営承認プロセスを機能させる工夫

AI方針書の経営承認は、単なる押印手続きになってしまいがちです。ある企業では、経営会議でAI方針を承認する前に、経営陣自身が実際に業務で使っているAIツールについて、具体的な利用場面を一つずつ挙げてもらう時間を設けました。これにより、経営陣は方針が抽象論ではなく自分自身の日常業務に関わるものだと実感し、承認後の関与も深まったといいます。

この工夫の裏には、経営承認を単なる形式的な通過点にせず、経営陣自身がAI活用の当事者であるという自覚を持たせる狙いがあります。方針書の内容そのものよりも、承認に至るプロセスの設計が、その後の運用の実効性を大きく左右します。

小規模組織における現実的な進め方

ISO42001の要求事項を読むと、大企業向けの重厚な体制を前提にしているように感じられるかもしれませんが、専任のAIガバナンス部門を持たない中小企業でも、段階的に取り組むことは十分可能です。ある中堅企業では、専任者を置く代わりに、情報システム部門の担当者が業務の一部としてAI資産の棚卸しを兼務し、まずはエクセルで管理する簡易な台帳から始めました。

完璧な体制を最初から目指すのではなく、今ある人員と時間の範囲で「最低限、何を把握しておくべきか」を絞り込むことが、小規模組織にとって現実的な出発点になります。認証取得を急がず、まずは自社のAI利用実態を正確に把握することから始めるという姿勢が、結果的に遠回りのようで最も着実な道筋です。

認証取得がゴールではない理由

ISO42001の認証を取得すること自体は、取引先や顧客に対する信頼の証にはなりますが、それが目的化してしまうと本末転倒です。認証取得後に運用が形骸化し、文書と実態が乖離していく企業は少なくありません。特にAI分野は技術の進化が速く、半年前に整備した評価手順が、新しいタイプのAIエージェントの登場によってすぐに陳腐化することもあります。

本質的に重要なのは、認証というラベルではなく、AIを使う現場の一人ひとりが「これは大丈夫か」と立ち止まって考える習慣を持つことです。規格はその習慣を組織的に支える骨組みに過ぎません。骨組みだけがあって、そこに命を吹き込む現場の意識がなければ、認証は単なる看板になってしまいます。

今後の展望

今後、ISO42001のような規格は、取引先選定の際の必須条件として求められる場面が増えていくと予想されます。特にAIを活用したサービスを提供する企業にとっては、認証の有無が受注可否を左右するようになる可能性があります。同時に、規格自体も実務での運用経験を踏まえて改訂が重ねられていくでしょう。

中堅企業にとって重要なのは、今すぐ完璧な体制を目指すことではなく、着手可能な範囲から一歩ずつ整備を進め、AIと人間の役割分担についての社内の共通言語を育てていくことです。共通言語がない組織では、AIをめぐる議論がいつまでも感覚的な水掛け論に終始してしまいます。

認証審査で実際に聞かれること

認証審査の場では、書類の完成度以上に、担当者が自分の言葉で説明できるかどうかが厳しく見られます。ある企業の初回審査では、審査員が「このAIリスク評価シートの、この項目の点数はなぜこの数字になったのですか」と一つひとつの根拠を問い詰め、担当者が用意していた台本通りの回答では通用しない場面が何度もありました。

審査員は文書の整合性だけでなく、実際に現場で運用されている痕跡を探します。例えば方針書に「四半期ごとにAIリスクを見直す」と書かれていれば、実際に開催された会議の議事録や出席者名簿の提示を求められます。書類上だけ整っていて実態が伴わない状態は、審査の過程で必ず露呈すると考えておくべきです。

審査を経験した担当者の多くが口にするのは、「準備段階で一番役に立ったのは、審査員役を社内の別部門の人に頼んで模擬審査をしてもらったことだった」という感想です。身内からの厳しい質問に耐えられるかどうかを事前に確認しておくことが、本番での落ち着いた対応につながります。

部門間の温度差をどう埋めるか

ISO42001の準備を進めると、必ずと言っていいほど部門間の温度差という壁にぶつかります。情報システム部門は規格の要求事項を技術的に満たすことに関心が向きがちですが、営業部門や製造部門の現場担当者にとっては、日々の業務にどう関わるのかが見えないと、協力は得られません。

ある企業では、部門ごとに「自分たちが使っているAIツールは何か」を棚卸しする作業ワークショップを開催し、参加者自身に自部門の利用実態を発表してもらう形式を採用しました。担当者から一方的に説明されるよりも、自分たちで発見した事実のほうが納得感が強く、その後の協力度合いも大きく変わったといいます。

温度差を埋める最も効果的な方法は、規格の条文を説明することではなく、各部門が抱えている具体的な悩み事、例えば「AIの提案をそのまま顧客に見せてよいのか分からない」といった日常的な疑問に、規格の枠組みがどう答えを与えてくれるかを示すことです。

文書化しすぎることの弊害

ISO42001の準備において、意外と見落とされがちなのが「文書化しすぎる」ことの弊害です。監査を意識するあまり、あらゆる判断について詳細な手順書を作り込もうとすると、現場担当者が本来の業務よりも文書作成に時間を取られてしまい、かえって形骸化を招きます。

ある企業の品質保証担当者は、「最初の草案では手順書が50ページを超えていたが、実際に現場で読んで使われる文書は3ページ程度が限界だと気づき、思い切って削った」と振り返っています。文書は分厚いほど信頼性が高いという誤解を捨て、現場が実際に参照し、更新し続けられる分量に絞り込むことが、運用の持続可能性を左右します。

過不足のない文書量を見極めるには、実際にその文書を使う現場担当者に「これを読んで業務ができるか」を試してもらうプロセスを挟むことが有効です。作成者の自己満足で終わらせないための、地道だが欠かせない確認作業です。

AIエージェント時代に求められる追加の視点

近年急速に普及が進むAIエージェントは、人間の逐一の指示なしに複数のタスクを自律的に実行するため、ISO42001が想定していた「人間による監督」の設計に新たな難題を突きつけています。従来のチャット型AIであれば、一つの出力ごとに人間が確認するという運用が現実的でしたが、複数のシステムを横断して自律的に処理を進めるエージェントでは、どの時点で人間が介入すべきかの設計自体が難しくなります。

ある企業では、AIエージェントの導入にあたり、金額や影響範囲に応じて「完全自律で実行してよい範囲」「実行前に必ず人間の承認を要する範囲」「事後報告のみでよい範囲」の三段階に分けたガイドラインを策定し、これをAI資産の棚卸表に紐づけて管理する運用を始めています。規格の条文自体はエージェントの詳細までは踏み込んでいませんが、既存の枠組みを応用して先回りの対応を取ることが、今後の監査対応でも有利に働くと考えられます。

監査費用と社内工数の現実的な見積もり

ISO42001の認証取得を検討する企業からよく聞かれる質問が、実際にどれくらいの費用と工数がかかるのかという点です。認証機関に支払う審査費用そのものは企業規模によって幅がありますが、多くの企業が過小評価しがちなのは、審査費用以上に社内担当者の工数が重くのしかかるという点です。

ある中堅企業では、専任のプロジェクトリーダー一名に加え、各部門から兼務で参加するメンバー五名程度を集め、準備期間として半年から一年を見込みました。実際にはメンバーの本来業務との兼ね合いで会議の日程調整すら難航し、当初の想定より三か月ほど準備期間が延びたといいます。

費用対効果を経営層に説明する際には、認証取得のコストだけでなく、取得しなかった場合に失う可能性のある取引機会や、AIガバナンス体制が未整備であることによる将来的なリスクコストも合わせて提示することが、予算獲得の説得材料として有効です。

取引先からの認証要求にどう対応するか

近年、大手企業がサプライヤーに対してAIガバナンス体制の証跡提出を求めるケースが増えています。ある部品メーカーでは、主要取引先から突然「AI利用に関する管理体制の説明資料を提出してほしい」という依頼が来て、社内に整った資料が存在せず、急遽対応に追われる事態になりました。

こうした事態を避けるためには、認証取得の是非を検討する以前に、取引先から将来的にどのような情報開示を求められる可能性があるかを想定し、最低限の説明資料をあらかじめ準備しておくことが有効です。ISO42001の認証を取得していなくても、規格の枠組みに沿った自己点検の記録があるだけで、取引先への説明の質は大きく向上します。