ISO/IEC 42001の附属書Aとは？AI管理策と適用方法をわかりやすく解説

ISO/IEC 42001の附属書A（Annex A）とは？

ISO/IEC 42001への対応を進める中で、「附属書Aには何が書かれているのか」「記載されている管理策をすべて実施しなければならないのか」と疑問を持つ方も多いのではないでしょうか。

ISO/IEC 42001の附属書A（Annex A）には、AIシステムの開発・提供・利用に伴うリスクへ対応するために検討する管理目的と管理策がまとめられています。

ISO/IEC 42001本文では、AIMS（AIマネジメントシステム）を構築・運用するために組織が満たすべき要求事項が定められています。一方、附属書Aは、AIリスクへの対応を検討するときに参照する具体的な管理策を整理したものです。

附属書Aは規格上の「規定（normative）附属書」に位置付けられていますが、これは附属書Aに掲載された管理策をすべての企業が一律に実施しなければならない、という意味ではありません。

自社のAIMSの適用範囲やAIにおける役割、AIリスクアセスメントの結果などを踏まえて必要な管理策を決め、附属書Aと照合しながら不足がないかを確認することが重要です。

ISO/IEC 42001全体の要求事項について確認したい方は、以下の記事もあわせてご覧ください。

ISO/IEC 42001の要求事項をわかりやすく解説

参照元：ISO「ISO/IEC 42001:2023 - AI management systems」
日本規格協会「【注目JIS】人工知能（AI）マネジメントシステムについてのJISを発行しました（JIS Q 42001）」

ISO/IEC 42001の「要求事項」と「附属書A」の違い

ISO/IEC 42001への対応では、本文の要求事項と附属書Aを別々の仕組みとして考えるのではなく、AIMSの中で関連付けて運用する必要があります。

比較項目	ISO/IEC 42001本文の要求事項	附属書A
役割	AIMSをどのように確立・実施・維持・改善するかを定める	AIリスクへの対応で検討する管理目的・管理策を示す
主な内容	組織の状況、リーダーシップ、計画、支援、運用、評価、改善など	AI方針、組織、資源、影響評価、ライフサイクル、データ、利用、第三者管理など
実務での使い方	AIMS全体の管理プロセスを構築・運用する	リスクへの対応に必要な具体的な管理策を検討する
リスクアセスメントとの関係	AIリスクを評価し、必要な対応を決定するプロセスを求める	決定したリスク対応に必要な管理策を確認する参照先となる
認証審査	AIMSが要求事項に適合し、有効に機能しているか確認される	リスク評価、適用宣言書、選定した管理策、実際の運用などの整合が確認される

特に重要なのが、ISO/IEC 42001の箇条6で行うAIリスクアセスメント・リスク対応と附属書Aをつなげて考えることです。

最初から附属書Aをチェックリストとして上から順番に実装するのではなく、自社のAIリスクを把握し、必要な対応を決めたうえで、附属書Aに示された管理策と照合します。

附属書Aは全部実施しなければならない？

ISO/IEC 42001の附属書Aには38の管理策がありますが、38の管理策をすべて機械的に実施することが目的ではありません。

自社にどの管理策が必要なのかは、AIMSの適用範囲、AIを開発・提供・利用する立場、AIシステムの用途、AIリスクアセスメントの結果、法令や契約上の要求などを踏まえて判断します。

そのため、附属書Aに示されている管理策であっても、自社の状況から適用する必要がないと判断する場合があります。

一方で、附属書Aだけでは自社固有のAIリスクへ十分に対応できない場合には、附属書Aにない独自の管理策を追加することもできます。

重要なのは、単に「実施する・しない」を決めるのではなく、なぜその管理策が必要なのか、なぜ適用しないと判断したのかをリスクとの関係から説明できる状態にすることです。

こうした管理策の選定結果を整理するために作成するのが、適用宣言書（Statement of Applicability／SoA）です。

ISO/IEC 42001附属書Aは9つの領域・38の管理策で構成される

ISO/IEC 42001の附属書Aには、A.2からA.10までの9つの領域に38の管理策が整理されています。

以下では規格本文をそのまま転載するのではなく、それぞれの領域でどのようなテーマを管理するのかを簡潔にまとめます。

領域	主なテーマ
A.2	AIに関する方針 AIを開発・提供・利用する際の基本方針や、既存の社内方針との整合などを管理する
A.3	内部組織 AIに関する役割・責任、懸念事項を報告する体制などを整理する
A.4	AIシステムのための資源データ、人材、ツール、システム、計算資源などAIに必要となる資源を把握・管理する
A.5	AIシステムの影響評価 AIシステムが個人、集団、社会などへ及ぼす可能性のある影響を評価・記録する
A.6	AIシステムのライフサイクル目的・要件、設計、開発、検証、導入、運用、監視などAIのライフサイクル全体を管理する
A.7	AIシステムで使用するデータデータの取得、品質、来歴、準備など、AIで利用するデータを管理する
A.8	AIシステムに関する利害関係者への情報利用者等への情報提供、外部からの報告受付、インシデント時の情報提供などを管理する
A.9	AIシステムの利用 AIを想定された目的やルールに沿って責任ある形で利用するためのプロセスを管理する
A.10	第三者・顧客との関係 AIサプライヤー、外部サービス、委託先、顧客などとの責任分担や管理方法を整理する

正確な管理目的・管理策の文言を確認する場合には、ISO/IEC 42001:2023または、それと一致する日本産業規格であるJIS Q 42001:2025の規格本文を確認してください。

参照元：BSI「ISO/IEC 42001 AI Controls Implementation eLearning Course」
日本規格協会「JIS Q 42001:2025」

A.2「AIに関する方針」で考えること

A.2では、自社がAIをどのような考え方で開発・提供・利用するのか、その基本的な方向性を整理します。

AI方針を文書として整備するだけでなく、情報セキュリティ、個人情報保護、品質管理など、すでに社内で運用しているほかの方針との関係も確認する必要があります。

また、AIの利用方法や事業環境、法規制などが変われば、AI方針も必要に応じて見直します。

「AIポリシーを1枚作ればA.2への対応が完了する」というものではありません。方針が実際のAI利用ルールや管理体制、意思決定へ反映されていることが重要です。

A.3「内部組織」で考えること

AIに関するリスクを管理するためには、「誰が何をするのか」を明確にしておく必要があります。

たとえば、自社の状況に応じて以下のような関係者の役割を整理します。

AIマネジメントの責任者
AIシステムの開発担当者
AIを実際に利用する部門
リスク管理や情報セキュリティの担当者
法務・個人情報保護などの担当者
トップマネジメント
AIに関する問題や懸念事項の報告先

重要なのは役職を増やすことではなく、AIに関する判断や承認、問題発生時の対応を誰が担うのかを明確にすることです。

小規模な企業であれば、新たな専門部署を多数設置するのではなく、既存組織の担当者へ必要な役割を割り当てる方法も考えられます。

A.4「AIシステムのための資源」で考えること

AIシステムは、AIモデルだけで成り立っているわけではありません。

AIを適切に開発・提供・利用するには、たとえば以下のような資源が関係します。

AIシステムで使用するデータ
AIモデルやアルゴリズム
開発・運用に使用するツール
クラウドや計算環境
AIサービスやAPI
AIを管理できる人材・専門知識

自社でAIモデルを開発していない場合でも、外部の生成AIやAPI、SaaSなどを利用していれば、AIシステムは自社だけで完結していません。

どのような構成要素や外部サービスへ依存してAIを利用しているのかを把握しておくことが、リスク管理にもつながります。

A.5「AIシステムの影響評価」で考えること

A.5では、AIシステムによって誰が影響を受けるのか、その影響がどのようなものになり得るのかを評価します。

影響を受ける対象には、AIを利用する組織だけでなく、顧客、従業員、AIによる判断の対象となる人、特定の集団、さらには社会などが含まれる場合があります。

AIによる便益だけでなく、意図しない不利益や差別的な結果、プライバシーへの影響なども、自社のAI用途に応じて検討します。

AIリスクアセスメントとの違い

AIリスクアセスメントとAIシステム影響評価は関連していますが、確認する視点が同じではありません。

項目	主な考え方
AIリスクアセスメント	AIに関する不確実性が、組織の目的やAIMSへどのような影響を与えるかを特定・分析・評価する
AIシステム影響評価	AIシステムの利用によって個人・集団・社会などへどのような影響が生じ得るかを確認する

両者を完全に独立した作業として切り離すのではなく、影響評価で把握した内容をリスク管理へ反映するなど、相互に関連付けて運用することが重要です。

AIリスクアセスメントについて詳しく知りたい方は、以下の記事をご覧ください。

AIリスクアセスメントの具体的な進め方と注意点

A.6「AIシステムのライフサイクル」で考えること

A.6は、附属書Aの中でもAIシステムの実際の開発・運用と深く関係する領域です。

AIシステムについて、たとえば次のような段階を通じて適切に管理できる仕組みを検討します。

AIシステムを使用する目的
AIシステムに求める要件
設計・開発
検証・妥当性確認
導入
実際の運用
モニタリング
技術文書や必要な記録
システムや利用方法の変更

AIは一度開発・導入したら状態が固定されるとは限りません。使用するデータやモデル、外部サービス、利用環境などが変化する可能性があるため、運用開始後の変更や性能・リスクの変化も含めて管理することが重要です。

また、自社でAIシステムを設計・開発する企業と、完成したAIサービスを利用する企業では、各管理策との関係や必要となる対応の程度も異なります。

A.7「AIシステムで使用するデータ」で考えること

AIシステムの結果は、使用するデータの内容や品質にも大きく左右されます。

A.7では、たとえば以下のような視点からデータを管理します。

どのようなデータを使用しているか
データをどこから取得したか
データの来歴を把握できるか
利用目的に対して必要な品質を満たしているか
どのような加工・準備を行ったか
データの正確性・適切性・代表性などに問題がないか

AIにおけるデータ管理は、個人情報を含んでいるかどうかだけを確認するものではありません。

自社がAIを利用する目的やAIシステムの特性を踏まえ、そのデータを使用することが適切なのかという観点から管理する必要があります。

A.8「利害関係者への情報」で考えること

AIシステムに関する情報を、顧客や利用者などの利害関係者へ適切に提供することもAIマネジメントの重要な要素です。

たとえば、自社のAIシステムに応じて以下のような事項を検討します。

AIシステムの目的や利用方法について何を伝えるか
利用上の制限や注意事項をどのように伝えるか
AIによる悪影響などについて外部から報告を受け付ける仕組み
重大なインシデントが起きた際の情報提供
顧客、ユーザー、規制当局などへ提供すべき情報

ここでいう情報提供や透明性は、AIモデルの内部構造や企業秘密をすべて公開することと同義ではありません。

AIシステムの利用者や影響を受ける人など、対象となる利害関係者に応じて必要な情報を判断することが重要です。

A.9「AIシステムの利用」で考えること

A.9は、AIを自社開発していない企業にとっても関係しやすい領域です。

AIを業務で利用する場合には、たとえば以下のような事項を整理します。

AIを何の目的で利用するのか
どこまでの業務で利用できるのか
禁止・制限する用途があるか
AIの出力について人による確認が必要か
想定された利用方法から逸脱していないか
AI利用に伴うリスクを継続して確認できているか

ChatGPTなどの外部生成AIを従業員が業務で利用する場合にも、入力可能な情報、利用できるサービス、出力結果の確認方法などを検討することがあります。

ISO/IEC 42001は、AIシステムを開発する企業だけではなく、AIを提供・利用する組織も対象となり得る規格です。

A.10「第三者・顧客との関係」で考えること

現在のAIシステムは、自社だけで完結するとは限りません。

外部AIモデル、クラウドサービス、生成AI、API、SaaS、データ提供会社など、複数の外部事業者に依存するケースがあります。

そのため、A.10では、たとえば以下のような事項を検討します。

自社とAIサプライヤーの責任分担
外部AIサービスを選定する際の確認事項
契約条件やサービス利用条件
委託先・サプライヤーの管理
AIサービスを顧客へ提供する際の責任分担
顧客へ伝える必要がある情報

外部AIサービスを利用しているからといって、AIに関する管理責任をすべてサービス提供会社へ移せるわけではありません。

自社が何を管理し、外部事業者へ何を求め、どのように状況を確認するのかを整理しておくことが重要です。

附属書Aと附属書Bの違い

ISO/IEC 42001には、附属書Aだけでなく附属書Bも設けられています。

附属書	役割
附属書A	AIリスクへの対応で検討する管理目的・管理策を整理している
附属書B	附属書Aに示された管理策を実施する際の手引を示している

「附属書Aを見ても具体的に何をすればよいのかわからない」という場合には、対応する附属書Bの手引も確認すると、管理策の趣旨を理解しやすくなります。

ただし、附属書Bの内容をそのまま自社の手順書へコピーすることが目的ではありません。

自社のAI利用状況やリスク、組織体制に合わせて実際に継続して運用できる仕組みへ落とし込むことが重要です。

参照元：日本規格協会「【注目JIS】人工知能（AI）マネジメントシステムについてのJISを発行しました（JIS Q 42001）」

附属書Aの管理策はどうやって選ぶ？

附属書A対応で特に重要なのが、「38の管理策をどのように自社へ適用するか」という点です。

基本的には、附属書Aを最初から順番に実装していくのではなく、自社のAIリスクを起点に必要な管理策を決める考え方が重要です。

具体的には、次のような流れで進めます。

AIMSの適用範囲を決める
自社でAIを開発・提供・利用している状況を把握する
AIにおける自社の役割を整理する
AIリスクアセスメントを行う
リスクへの対応方法を決める
必要となる管理策を検討する
附属書Aと照合し、必要な管理策を見落としていないか確認する
必要であれば附属書Aにない独自の管理策を追加する
判断した管理策を適用宣言書へ反映する
管理策を実装・運用する
有効性を確認し、必要に応じて見直す

つまり、「附属書Aに書かれているから実施する」のではなく、「自社のリスクへの対応に必要だから実施する」という考え方が基本になります。

そのうえで附属書Aと照合することで、必要な管理策を見落としていないか確認します。

適用宣言書（Statement of Applicability／SoA）とは？

附属書Aへの対応を整理するうえで重要になる文書が、適用宣言書（Statement of Applicability／SoA）です。

適用宣言書では、自社のAIリスクへの対応に必要と判断した管理策と、その選定・適用に関する考え方を整理します。

リスクアセスメントでリスクを把握し、必要なリスク対応を決め、その対応にどの管理策を使用するのかをつなぐ役割を持つ文書と考えると理解しやすいでしょう。

また、附属書Aにない独自の管理策が必要な場合には、それらについても自社のリスク対応の中で整理します。

適用宣言書は、附属書Aの38管理策へ単純に「○」「×」を付けるだけのチェックシートではありません。なぜその管理策が必要なのか、なぜ適用しないのかという判断根拠を説明できる状態にすることが重要です。

適用宣言書には何を書く？

適用宣言書の具体的な様式は、企業や利用する管理方法などによって異なる場合があります。

実務では、たとえば以下のような情報を関連付けて整理すると、自社の判断を管理しやすくなります。

項目	整理する内容の例
管理策	自社で検討した管理策
適用判断	適用する／適用しない
判断理由	なぜ必要なのか、またはなぜ適用しないのか
関連するリスク	どのAIリスクへの対応として管理策を使用するのか
実装状況	実装済み、対応中などの状況
関連文書・記録	規程、手順、教育記録、運用記録など

重要なのは様式そのものではなく、リスク評価・リスク対応・必要な管理策・実際の運用がつながっていることです。

管理策を「適用しない」と判断するときのポイント

附属書Aの管理策について、自社には適用する必要がないと判断することもあります。

その場合は、「必要なさそうだから」という感覚だけで判断するのではなく、たとえば以下のような条件を踏まえて考えます。

AIMSの適用範囲
AIシステムにおける自社の役割
AIリスクアセスメントの結果
AIシステムの利用方法
適用される法令・規制
契約上の要求事項
利害関係者からの要求

たとえば、自社ではAIモデルそのものを開発せず、外部のAIサービスを利用しているケースがあります。

この場合、AI開発に直接関係する管理策について自社との関係を確認する必要がありますが、だからといって「AI利用企業ならA.6はすべて不要」と一律に判断することは適切ではありません。

外部AIの選定や利用方法、変更時の対応、モニタリング、サプライヤー管理など、自社にも関係する事項がないかを確認したうえで個別に判断しましょう。

附属書Aにない独自の管理策を追加してもいい？

自社のリスクに対応するために必要であれば、附属書Aに示されていない独自の管理策を設定することも可能です。

附属書Aは、必要な管理策を検討する際の参照先であり、あらゆる企業のあらゆるAIリスクへの対応策を完全に列挙したものではありません。

たとえば、企業のAI利用状況によっては、次のような独自ルールを管理策として設けることが考えられます。

生成AIへ機密情報を入力する際の制限
業務で利用可能な生成AIサービスの承認制度
特定の高リスク用途でAI出力を利用する際の人によるレビュー
AIが生成した情報を外部へ公開する前の確認手順

これらはあくまで一般的な例であり、ISO/IEC 42001がすべての企業へ一律に要求している管理策という意味ではありません。

自社固有のリスクに対して何が必要なのかという視点で管理策を検討してください。

管理策を決めた後に必要なのは「実装」と「証拠」

適用宣言書に管理策を「適用」と記載しただけでは、AIMSとして十分とはいえません。

決定した管理策を実際の業務へ実装し、継続して運用する必要があります。

また、認証審査などで実施状況を確認できるよう、管理策に応じて必要な記録を残しておきましょう。

たとえば、以下のような文書・記録が証拠となる場合があります。

AI方針や関連規程
AI利用やシステム導入の承認記録
AIリスクアセスメントの記録
AIシステム影響評価の記録
従業員への教育記録
AIシステムのログや運用記録
監視・測定結果
AIに関するインシデントの記録
委託先・外部AIサービスの評価記録

必要となる証拠は管理策や事業内容によって異なります。

「文書を作った＝管理策を実施した」ではないことを意識し、実際の業務で仕組みが機能している状態を整えることが重要です。

認証審査では附属書Aをどう確認される？

ISO/IEC 42001の認証審査では、附属書Aの管理策にチェックが付いているかだけを見るわけではありません。

具体的な審査内容は認証機関やAIMSの適用範囲などによって異なりますが、たとえば次のような関係が確認されます。

AIリスクアセスメントとリスク対応が整合しているか
必要な管理策が適用宣言書へ反映されているか
適用すると判断した管理策が実際に実装されているか
適用しない管理策について考え方を説明できるか
文書上のルールと現場での運用が一致しているか
管理策を運用した記録が残っているか

つまり、「リスク→対応方法→管理策→SoA→実際の運用→記録」が一連の仕組みとしてつながっていることが重要です。

ISO/IEC 42001の認証審査について詳しく知りたい方は、以下の記事も参考にしてください。

ISO/IEC 42001の審査では何を確認される？Stage1・Stage2の違いを解説

附属書A対応でありがちな注意点

附属書Aを上から順番にすべて実施しようとする

附属書Aは、最初から38の管理策をすべて実装するための作業リストではありません。

まず自社のAIリスクを把握し、必要なリスク対応を決めたうえで管理策を検討し、附属書Aと照合しましょう。

リスクアセスメントと管理策がつながっていない

適用宣言書には多数の管理策が並んでいるものの、「何のリスクに対応するための管理策なのか」がわからない状態では、リスクベースで管理しているとはいえません。

リスク評価から管理策選定までの判断過程を追えるようにしておきましょう。

SoAへ○×を付けただけになっている

適用宣言書は、管理策のチェック表を作ること自体が目的ではありません。

採用・除外の考え方やリスクとの関係を整理し、なぜその判断をしたのかを説明できる状態にする必要があります。

文書はあるが実際には運用していない

AI利用規程や手順書を作成していても、従業員が知らなかったり、実際の業務で異なる方法が取られていたりすれば、管理策が機能しているとはいえません。

教育や運用確認を行い、文書と実態を一致させましょう。

自社のAIにおける役割を整理していない

同じAIシステムでも、開発者、サービス提供者、利用者では管理すべき事項が異なる場合があります。

自社がAIのライフサイクルでどのような役割を担っているのかを整理してから管理策を検討しましょう。

外部生成AIやSaaSを管理対象から漏らす

社内で自社開発AIがなくても、生成AIやAI機能を備えたクラウドサービスを利用している場合があります。

各部署の利用状況を確認し、AIMSの適用範囲との関係を整理することが重要です。

AIシステムを変更しても管理策を見直さない

新たなAIサービスを導入したり、用途やデータ、モデルなどが変わったりすれば、リスクも変化する可能性があります。

AIシステムの変更に応じて、リスク評価や適用宣言書、管理策についても必要な見直しを行いましょう。

生成AIを利用しているだけの会社でも附属書Aは関係する？

ISO/IEC 42001は、AIシステムを自社開発する組織だけを対象とした規格ではありません。

ISOでは、AIを利用した製品・サービスを開発・提供する組織だけでなく、AIを利用する組織もISO/IEC 42001の対象として説明しています。

そのため、ChatGPTなどの外部生成AIを業務で利用している企業でも、AIMSの適用範囲に応じて附属書Aとの関係を検討することがあります。

特に、以下のようなテーマは利用企業とも関係しやすいでしょう。

AIの利用ルール
AIへ入力するデータの管理
AIを使用する目的や利用範囲
外部AIサービスの選定・管理
利用者・提供会社との責任分担
必要な利害関係者への情報提供

ただし、「生成AIを利用していれば必ずすべての管理策が必要」というわけではありません。

自社のAIMSの適用範囲やAI利用状況、リスクを踏まえて必要な管理策を判断します。

参照元：ISO「ISO/IEC 42001:2023 - AI management systems」

ISMS（ISO/IEC 27001）の附属書Aと同じ？

ISO/IEC 42001とISO/IEC 27001には、どちらにも「附属書A」があるため混同しやすいですが、扱っている管理テーマは異なります。

規格	附属書Aの主な役割
ISO/IEC 42001	AIマネジメントに関する管理目的・管理策
ISO/IEC 27001	情報セキュリティリスクへの対応に使用する情報セキュリティ管理策

ただし、リスクを評価して必要な管理策を決定し、附属書Aと照合し、適用宣言書へ整理するというリスクベースの考え方には共通する部分があります。

すでにISMSを運用している企業であれば、リスク管理や適用宣言書、内部監査などの経験をISO/IEC 42001対応へ活用できる可能性があります。

一方で、ISO/IEC 27001の附属書AをそのままISO/IEC 42001へ流用できるわけではありません。AI特有の影響やデータ、AIライフサイクル、AI利用、利害関係者などについて別途検討する必要があります。

両規格の違いについては、以下の記事もご覧ください。

ISMSとISO/IEC 42001の違いとは？【徹底比較】

附属書Aへの対応を進める前に確認したいこと

附属書Aの管理策を検討する前に、AIMSの前提となる情報が整理されているか確認しましょう。

AIMSの適用範囲が明確になっているか
自社で利用・開発・提供しているAIを把握しているか
AIシステムにおける自社の役割を整理しているか
AIリスクアセスメントを実施しているか
必要なAIシステム影響評価を実施しているか
適用される法令・規制・契約上の要求を整理しているか
利害関係者からの要求を把握しているか
リスクへの対応に必要な管理策を判断しているか
適用宣言書へ管理策を反映しているか
選定した管理策を実際に運用しているか
管理策を実施した記録を残しているか

附属書Aだけを先に確認するのではなく、AIMSの適用範囲とAIリスクを整理したうえで管理策へ落とし込むことが、実態に合った仕組みを作るポイントです。

附属書Aの適用判断を自社だけで行うのが難しい場合

附属書Aには38の管理策がありますが、一覧を読んだだけでは「自社にはどこまで必要なのか」「どの管理策をどのように実装すればよいのか」を判断しにくい場合があります。

実際のISO/IEC 42001対応では、附属書Aの確認だけでなく、以下のような作業を関連付けて進める必要があります。

自社のAI利用状況の棚卸し
AIMSの適用範囲の設定
AIリスクアセスメント
AIシステム影響評価
リスク対応方法の検討
必要な管理策の選定
適用宣言書の作成
関連する規程・手順の整備
管理策の実装
運用記録の管理

社内にISOマネジメントシステムやAIガバナンスに詳しい担当者がいない場合には、通常業務と並行してこれらを一から調査・構築することで、大きな工数がかかる可能性があります。

自社だけで判断するのが難しい場合には、ISO/IEC 42001に対応するコンサルティング会社へ相談することも選択肢です。

ただし、コンサルティング会社の役割は、附属書Aの一覧へ代わりに○を付けてもらうことではありません。自社のAI利用状況とリスクを整理し、必要な管理策を選定・実装できるよう専門知識や作業を補うために活用することが重要です。

コンサルティング会社を利用した場合の費用については、以下の記事でも解説しています。

ISO/IEC 42001認証取得にかかる費用は？審査費用・コンサル費用を解説

FAQ：ISO/IEC 42001附属書Aに関する質問

ISO/IEC 42001の附属書Aとは何ですか？: ISO/IEC 42001の附属書Aは、AIに関するリスクへの対応を検討する際に参照する管理目的・管理策を整理したものです。AI方針、組織、資源、影響評価、ライフサイクル、データ、利害関係者への情報、AI利用、第三者との関係などを扱っています。
ISO/IEC 42001の附属書Aはすべて実施する必要がありますか？: 附属書Aに掲載された管理策をすべて機械的に実施するものではありません。自社のAIMSの適用範囲やAIにおける役割、リスクアセスメントの結果などを踏まえて必要な管理策を決定します。適用しない管理策がある場合には、その判断理由を説明できるよう整理することが重要です。
ISO/IEC 42001の附属書Aには何個の管理策がありますか？: ISO/IEC 42001:2023の附属書Aには、A.2からA.10までの9つの領域に38の管理策が整理されています。ただし、認証取得のために38管理策をすべて一律に実施するという意味ではありません。
附属書Aと本文の要求事項は何が違いますか？: 本文の要求事項は、AIMSを確立・実施・維持・継続的に改善するために組織が満たすべき事項を定めています。附属書Aは、そのAIMSの中でAIリスクへ対応する際に検討する具体的な管理策の参照先です。両者を別々に運用するのではなく、リスク管理を通じて関連付けます。
附属書Aと附属書Bは何が違いますか？: 附属書AにはAIに関する管理目的・管理策が示され、附属書Bにはそれらの管理策を実施するための手引が示されています。附属書Bの内容をそのまま自社の手順にするのではなく、自社のAI利用状況やリスクに合わせて実装方法を検討します。
適用宣言書（SoA）とは何ですか？: 適用宣言書（Statement of Applicability／SoA）は、自社のAIリスクへの対応に必要な管理策と、その選定・適用に関する考え方を整理する文書です。単に附属書Aへ○×を付ける表ではなく、リスク評価、リスク対応、管理策の判断を関連付けて説明する役割があります。
附属書Aにない独自の管理策を設定してもよいですか？: 可能です。附属書Aだけでは自社固有のリスクへの対応が不足する場合には、必要な独自管理策を追加できます。重要なのは、附属書Aにあるかどうかだけではなく、自社のリスクを適切に管理するために必要かどうかという視点です。
適用しない管理策があってもISO/IEC 42001を取得できますか？: 附属書Aの管理策をすべて適用することが認証取得の条件というわけではありません。自社のリスクや認証範囲などを踏まえて必要性を判断し、適用しない場合には、その判断が合理的であることを説明できるよう適用宣言書などへ整理しておくことが重要です。
ISMS（ISO/IEC 27001）の附属書AとISO/IEC 42001の附属書Aは同じですか？: 同じではありません。ISO/IEC 27001の附属書Aは情報セキュリティ管理策を扱うのに対し、ISO/IEC 42001の附属書AはAIマネジメントに関する管理策を扱います。ただし、リスクに応じて必要な管理策を選定し、適用宣言書へ整理するという考え方には共通する部分があります。

まとめ｜附属書Aは全部実施するチェックリストではなく、AIリスクに合った管理策を確認するために使う

ISO/IEC 42001の附属書Aには、A.2からA.10までの9領域・38の管理策が整理されています。

主なテーマは、AI方針、内部組織、AIシステムに必要な資源、影響評価、AIシステムのライフサイクル、データ、利害関係者への情報提供、AIの利用、第三者・顧客との関係などです。

ただし、附属書Aを「38の管理策をすべて○にするためのチェックリスト」と考えるのは適切ではありません。

まずAIMSの適用範囲と自社のAI利用状況を整理し、AIリスクアセスメントを行ったうえで、リスクへの対応方法と必要な管理策を決定します。その後、附属書Aと照合して必要な管理策を見落としていないか確認し、必要であれば独自管理策も追加します。

管理策の選定結果は適用宣言書へ整理し、実際の業務へ実装・運用します。

認証審査においても、適用宣言書を作成していることだけではなく、リスク評価、管理策、文書、実際の運用、記録が整合していることが重要です。

附属書Aの一覧から対応を始めるのではなく、「自社にはどのようなAIリスクがあり、それをどのように管理する必要があるのか」を起点としてAIMSへ落とし込んでいきましょう。

自社だけでは管理策の適用判断やSoAの整理が難しい場合には、ISO/IEC 42001に詳しいコンサルティング会社の支援を活用し、専門知識や社内工数を補う方法もあります。