ISO/IEC 42001の審査では何を確認される？認証審査の流れと準備ポイント

ISO/IEC 42001の認証審査では何を確認される？

ISO/IEC 42001の認証取得に向けてAIMS（AIマネジメントシステム）の構築を進めていると、「審査では具体的に何を見られるのか」「どのような書類や記録を準備すればよいのか」と不安に感じる方も多いのではないでしょうか。

ISO/IEC 42001の第三者認証を取得するためには、認証機関による審査を受けます。ただし、この審査はAIシステムそのものの性能だけをテストするものではありません。

ISO/IEC 42001はAIマネジメントシステムに関する規格であるため、組織がAIMSを規格要求事項に沿って構築し、実際の業務で運用し、AIに関するリスクや機会を継続的に管理できているかが確認されます。

そのため、審査では方針や規程といった文書だけではなく、実際の運用記録、担当者へのヒアリング、業務プロセスなどを通じて、「決めた仕組み」と「実際の運用」が一致しているかを確認されることが重要なポイントです。

初回の認証審査は、一般的に「ファーストステージ（Stage1）」と「セカンドステージ（Stage2）」の2段階で進みます。

ファーストステージ：AIMSの構築状況や文書、適用範囲などを確認し、セカンドステージへ進むための準備状況を確認する
セカンドステージ：AIMSが実際に運用され、ISO/IEC 42001の要求事項に適合し、有効に機能しているかを確認する

認証取得までの準備全体について確認したい方は、以下の記事もあわせてご覧ください。

ISO/IEC 42001認証取得の流れとは？準備から審査・取得まで解説

参照元：日本品質保証機構（JQA）「JQAマネジメントシステム審査登録規則」

ISO/IEC 42001認証審査の流れ

ISO/IEC 42001の初回認証では、AIMSを構築してすぐに認証の可否が判断されるわけではありません。認証機関との契約や審査計画の調整を行ったうえで、ファーストステージ、セカンドステージへと進みます。

認証機関によって細かな手続きは異なりますが、一般的には次のような流れです。

認証機関へ申し込み・契約を行う
認証範囲や審査日程、審査計画を調整する
ファーストステージ審査を受ける
必要に応じてファーストステージで確認された課題へ対応する
セカンドステージ審査を受ける
不適合などがあった場合は必要な是正対応を行う
認証機関による認証判定を受ける
認証が認められると登録証が発行される

認証取得後についてもAIMSの運用は続きます。たとえばJQAでは、ISO/IEC 42001の定期審査を原則年1回、更新審査を原則3年ごとに行うとしています。

本記事では、認証取得までの全工程ではなく、特に担当者が不安を感じやすいファーストステージとセカンドステージで何が確認されるのかを中心に解説します。

参照元：日本品質保証機構（JQA）「ISO/IEC 42001 認証取得・維持の流れ」
日本品質保証機構（JQA）「JQAマネジメントシステム審査登録規則」

ファーストステージ（Stage1）審査とは？

ファーストステージ審査は、ISO/IEC 42001の正式な認証審査における第1段階です。

主な目的は、AIMSの理解・構築状況を確認するとともに、セカンドステージを実施するために必要な情報を収集することです。

「本番前の模擬審査」「練習のための審査」と捉えるのは適切ではありません。ファーストステージ自体が正式な認証プロセスの一部であり、その結果によってセカンドステージの審査計画や日程などが見直されることもあります。

Stage1で確認される主な内容

JQAのマネジメントシステム審査登録規則では、ファーストステージ審査の主な内容として、マネジメントシステム文書、登録活動範囲、対象事業所、主要プロセス、方針・目的、法令・規制への対応状況、内部監査・マネジメントレビューなどを挙げています。

ISO/IEC 42001の場合、自社のAIMSや認証範囲に応じて、たとえば次のような内容を整理しておくことが考えられます。

AIMSに関する文書
認証の適用範囲
対象となる部署・事業所・サービス
AIに関係する主要な業務プロセス
AI方針・AI目標
AIMSに関する責任・権限
適用される法令・規制・契約上の要求事項など
AIリスク評価など、規格で求められる分析・評価の実施状況
内部監査・マネジメントレビューの実施・計画状況
セカンドステージの審査計画に必要となる情報

ただし、上記を準備すれば必ず十分という固定的なチェックリストではありません。実際に確認される内容は、認証機関の審査方法、AIMSの適用範囲、自社がAIを開発・提供・利用するどの立場なのか、事業内容やAIシステムの種類、リスクなどによって異なります。

参照元：日本品質保証機構（JQA）「JQAマネジメントシステム審査登録規則」

Stage1前に準備しておきたい文書・情報

ファーストステージへ進む前には、自社のAIMSがどのような考え方で構築されているのかを審査員へ説明できるよう、関連する文書や情報を整理しておきましょう。

準備する情報の例として、以下が挙げられます。

AIMSの適用範囲
対象となるAIシステム・AIサービスの概要
AI方針
AI目標
組織体制・責任者・責任分担
AIリスクアセスメントの結果
AIリスクへの対応に関する情報
適用宣言書（Statement of Applicability）
AIシステム影響評価
AIMSに関係する規程・手順書
対象拠点・サービスの一覧
適用される法令・規制・契約上の要求事項などの整理

BSIが提供している任意のISO/IEC 42001認証前アセスメントでも、準備情報の例として、AIシステムの説明、サービス一覧、適用宣言書、対象拠点、AI方針・目標、AIMSマニュアル、関連する手順・方針・作業指示などが挙げられています。

ただし、これはISO/IEC 42001認証審査で必ず提出しなければならない文書の完全な固定リストではありません。認証範囲や組織の役割、管理するAIによって必要となる文書や記録は変わるため、実際の準備資料については利用する認証機関の案内も確認してください。

参照元：BSI「ISO/IEC 42001 AI Management System Pre-Certification Assessment」

Stage1で問題が見つかったらどうなる？

ファーストステージで課題を指摘されたからといって、その時点で直ちに「認証できない」と決まるわけではありません。

JQAでは、ファーストステージでセカンドステージにおいて不適合となる可能性がある事象を「懸念領域」として報告するとしています。

また、ファーストステージの結果によって、必要に応じてセカンドステージの審査工数や日程を見直す場合があります。さらに、現状ではセカンドステージを実施できないと判断された場合には、再度ファーストステージを行うこともあるとしています。

そのため、Stage1で確認された内容は「即不合格の判定」と考えるのではなく、Stage2へ進む前に解消・整理しておくべき課題を明確にする機会として捉えることが大切です。

参照元：日本品質保証機構（JQA）「JQAマネジメントシステム審査登録規則」

セカンドステージ（Stage2）審査とは？

セカンドステージでは、構築したAIMSが実際に組織の中で実施され、有効に機能しているかを確認します。

JQAでは、セカンドステージについて、マネジメントシステムの実施状況と有効性を評価し、規格への適合性を審査する段階としています。

Stage1でAIMSの枠組みや準備状況を確認したのに対し、Stage2では「ルールを作ったか」だけでなく「そのルールを実際の業務で運用しているか」がより重要になります。

Stage2ではどのように確認される？

認証審査は、文書だけを机上で確認して終了するものではありません。認証機関や認証範囲によって具体的な方法は異なりますが、たとえば次のような方法を通じてAIMSの運用状況が確認されます。

AIMSに関する文書・運用記録の確認
トップマネジメントやAIMS責任者へのヒアリング
AIを利用・開発・提供する担当者へのヒアリング
実際の業務プロセスや活動の確認
AIリスク評価と実際の対策が整合しているかの確認
社内ルールが現場で理解・実施されているかの確認
AI目標や監視・測定、改善活動が機能しているかの確認
内部監査やマネジメントレビューが実際の改善につながっているかの確認

DNVも一般的なマネジメントシステム認証について、Stage1では文書やプロセス、認証範囲などを確認し、Stage2ではインタビュー、文書確認、観察などを通じて、マネジメントシステムが実際に機能しているかを評価する流れを示しています。

文書・記録・ヒアリング・実際の業務が相互に矛盾していない状態を整えておくことが、審査準備では重要です。

参照元：日本品質保証機構（JQA）「JQAマネジメントシステム審査登録規則」
DNV「What is accredited certification?」

Stage1とStage2の違いを比較

ファーストステージとセカンドステージは、どちらも正式な認証審査の一部ですが、主な目的や確認の重点が異なります。

比較項目	Stage1 ファーストステージ	Stage2 セカンドステージ
主な目的	AIMSの理解・構築状況や、Stage2へ進む準備状況を確認する	AIMSの実施状況・有効性・規格への適合性を確認する
主に確認されること	適用範囲、文書、主要プロセス、方針・目的、法令等への対応、分析・評価の実施状況など	定めた仕組みが実際に運用され、有効に機能しているか
文書・記録	AIMSをどのように構築しているかを確認するために重要	文書に加え、実際に運用した証拠となる記録が重要
運用状況	構築状況や準備状況を中心に確認	実際の業務での実施状況を具体的に確認
ヒアリング	認証範囲やAIMSの仕組みを理解するために行われる場合がある	経営層や担当者などへのヒアリングを通じて、実態との整合を確認する場合がある
審査後の対応	懸念領域などを踏まえてStage2までに必要な見直しを行う	不適合があれば認証機関の手続きに沿って是正対応を行う

Stage1は「AIMSを構築できているか・Stage2へ進める状態か」、Stage2は「AIMSが実際に動いているか」という違いを押さえておくと理解しやすいでしょう。

ISO/IEC 42001の審査で確認されやすい10のポイント

ISO/IEC 42001の審査内容は企業ごとに異なりますが、AIMSの要求事項を踏まえると、認証前に特に確認しておきたいポイントがあります。

以下は「この10項目だけ確認すれば認証できる」という意味ではありません。自社の認証範囲やAI利用状況と照らし合わせながら確認してください。

1．AIMSの適用範囲

まず重要なのが、AIMSをどの組織・事業・拠点・AIシステムへ適用するのかが明確になっていることです。

認証範囲として文書に記載している内容と、実際のAI利用・開発・提供状況に矛盾がないか確認しましょう。

また、認証範囲に含めていない組織や業務がある場合にも、自社の事業やAIMSとの関係を整理しておくことが重要です。

2．経営層の関与とAI方針

AI方針は、認証のために文書を作成しておけばよいものではありません。自社の経営方針や事業内容と整合し、組織としてどのようにAIを管理するのかが示されていることが重要です。

あわせて、AIMSに必要な責任・権限が定められているか、必要な人員・時間・予算などの資源が確保されているか、トップマネジメントがAIMSの状況を把握しているかも確認しておきましょう。

ISO/IEC 42001の要求事項については、以下の記事でも詳しく解説しています。

ISO/IEC 42001の要求事項をわかりやすく解説

3．AIリスクアセスメント

ISO/IEC 42001では、自社のAIに関するリスクを把握し、評価・対応する仕組みを整えることが重要です。

審査に備える際には、AIリスクを特定しているだけでなく、どのような方法で評価し、その結果からどのような対応を決めたのかを説明できるようにしておきましょう。

AIに関するリスクには、たとえば誤った出力、バイアス、プライバシー、透明性、外部AIサービスへの依存などさまざまなものがあります。ただし、すべての組織が同じリスクを持つわけではありません。

自社が扱うAIの目的や利用場面に合わせてリスクを評価し、AIの利用状況や環境が変わった際に見直せる仕組みにしておくことが重要です。

AIリスクアセスメントの具体的な進め方と注意点

4．AIシステム影響評価

ISO/IEC 42001では、AIリスクの評価だけでなく、AIシステムが個人や集団、社会などへ与える可能性のある影響を整理するAIシステム影響評価も重要になります。

リスクアセスメントが組織にとってのAI関連リスクを管理するための取り組みであるのに対し、AIシステム影響評価では、実際の利用目的や対象者などを踏まえ、AIシステムが外部を含む関係者へどのような影響を与える可能性があるのかを考えます。

形式的に評価票を作成するだけでなく、自社が扱うAIの用途や影響範囲に応じて評価し、必要な対応へつなげることが大切です。

5．適用宣言書と管理策

ISO/IEC 42001の附属書A（Annex A）には、AIマネジメントに関する管理目的・管理策が示されています。

適用宣言書（Statement of Applicability）では、自社のリスクや状況を踏まえて、必要な管理策を整理します。

確認したいのは、単に一覧へチェックを付けているかではなく、採用する管理策とその理由、適用しない管理策についての考え方、リスク評価との整合性が説明できる状態になっているかです。

「附属書Aの管理策をすべて一律に実施しなければ認証できない」と単純に捉えるのではなく、自社のリスクやAIMSとの関係を踏まえて適用を整理することが重要です。

6．AIを実際にどのように管理しているか

Stage2では、文書上のルールだけではなく、AIが日々どのように管理されているのかも重要になります。

自社の役割に応じて、たとえば次のような事項について、ルールと実際の運用が一致しているか確認しましょう。

AIの利用・開発・提供に関する管理
AIシステムのライフサイクル管理
AIで利用するデータの管理
外部AIサービスや委託先の管理
必要に応じた人による監督
AIシステムや利用方法を変更する際の管理
問題やインシデントが発生した場合の対応

AIを自社開発する企業と、外部の生成AIサービスを業務利用する企業とでは、確認すべき内容も異なります。自社がAIを開発・提供・利用するどの立場なのかを踏まえて管理方法を整理してください。

7．教育・力量・社内周知

AIを扱う担当者について、業務に必要な知識や力量を整理し、必要な教育を行っているかも確認しておきたいポイントです。

教育を実施した場合には、対象者、内容、実施日などの記録を残しておきましょう。

また、AIを利用する従業員が、自社のAI方針や利用ルール、問題が発生した場合の報告先などを理解していることも重要です。

すべての社員がISO/IEC 42001の条文を暗記する必要があるわけではありません。それぞれが自分の役割に必要なルールを理解し、実際の業務で実行できる状態を目指しましょう。

8．内部監査

内部監査では、AIMSがISO/IEC 42001の要求事項や、自社で定めたルールに沿って運用されているかを組織自身で確認します。

審査前には、少なくとも以下について整理しておきましょう。

内部監査の計画
内部監査を実施した記録
監査で発見した課題
必要な修正・是正・改善の状況

特に重要なのが、JQAでは内部監査が実施され、その記録がなければセカンドステージ審査を実施しないとしている点です。

取得直前に形式だけ整えるのではなく、内部監査によって自社のAIMSの問題点を見つけ、改善する機会として活用しましょう。

9．マネジメントレビュー

マネジメントレビューでは、トップマネジメントがAIMSの状況を確認し、その有効性や改善の必要性について判断します。

AIに関するリスクや機会、AI目標の達成状況、内部監査結果、改善が必要な事項、必要な資源などを踏まえてAIMSを見直し、その結果を記録します。

JQAでは、内部監査と同様にマネジメントレビューが実施され、その記録があることをセカンドステージ審査の前提としています。

トップマネジメントが形式的に承認するだけではなく、AIMSの現状を理解し、必要な判断を行える状態を整えておきましょう。

参照元：日本品質保証機構（JQA）「JQAマネジメントシステム審査登録規則」

10．不適合・問題を改善する仕組み

認証審査に備えるからといって、過去に起きた問題を「なかったこと」にする必要はありません。

重要なのは、問題を把握した際に、必要な修正を行い、原因を確認し、必要に応じて是正処置や再発防止につなげられる仕組みがあることです。

AIに関するインシデントや利用者からの苦情などが発生している場合には、その内容や対応結果を適切に記録・管理しておきましょう。

問題が一度でも発生した企業は認証できないというものではありません。問題を適切に把握し、改善へつなげられるマネジメントシステムになっていることが重要です。

審査ではどんな「証拠」を準備すればよい？

ISO/IEC 42001の認証審査では、規程やマニュアルなどの「書類」だけでなく、決めた仕組みを実際に運用したことを示す客観的な記録も重要です。

審査に備えて確認しておきたい文書・記録の例として、次のようなものがあります。

AI方針・AI目標
AIMSの適用範囲
組織図・責任分担
AIシステム・AIサービスの一覧
AIリスクアセスメントの記録
AIリスクへの対応記録
AIシステム影響評価
適用宣言書
社員教育・研修の記録
AIの利用・開発・運用に関する記録
監視・測定の結果
変更管理の記録
AIインシデント・苦情等への対応記録
委託先・外部AIサービスの管理記録
内部監査の計画・実施結果
マネジメントレビューの記録
不適合や是正処置に関する記録

必要となる証拠は、企業のAIMSや認証範囲によって異なります。また、文書のひな形を持っているだけでは、実際に運用している証拠にはなりません。

「ルールがある」「ルールに沿って実施している」「実施した記録がある」という一連のつながりを確認しておくことが大切です。

審査員からのヒアリングにはどう対応する？

認証審査では、AIMSの責任者だけでなく、実際にAIを利用・開発・提供する従業員などへヒアリングが行われる場合があります。

ただし、審査のために暗記した「模範回答」を全社員へ覚えさせる必要はありません。

たとえば、担当者であれば自分の業務に応じて以下のような内容を説明できる状態にしておくとよいでしょう。

自分の業務ではどのようなAIを利用しているか
AIを利用するときに何を確認することになっているか
入力してはいけない情報や利用上のルールは何か
AIの出力をどのように確認しているか
問題が起きた場合に誰へ報告するか
自分がAIMSの中でどのような役割を持っているか

重要なのは、回答内容が社内文書や実際の運用と一致していることです。

わからない事項を推測して答えるよう従業員へ指示するのではなく、自分が実際に担当している業務について事実に基づいて説明できる状態を整えましょう。

経営層へのヒアリングも準備しておく

ISO/IEC 42001ではトップマネジメントの関与も重要になるため、経営層がAIMSについて説明を求められる可能性も考えておきましょう。

たとえば、次のような内容について自社の考え方を整理しておくことが大切です。

なぜISO/IEC 42001へ取り組んでいるのか
自社におけるAIのリスクと機会をどのように捉えているか
AIMSでどのような目標を設定しているか
AIMSに必要な人員・予算・体制をどのように確保しているか
マネジメントレビューで何を確認し、どのような判断をしたか

認証取得業務の実務を担当者へ任せること自体に問題があるわけではありませんが、「AIMSのことは担当部署に任せているので経営層はわからない」という状態は避けたいところです。

経営層と担当者の間でも、認証取得の目的やAI方針、重要なリスクについて認識を共有しておきましょう。

審査前に確認したいチェックポイント

認証審査が近づいてきたら、文書だけを読み直すのではなく、AIMS全体が実態と一致しているかを確認しましょう。

認証の適用範囲が実際の組織・事業・AI利用状況と一致しているか
対象となるAIシステム・サービスの棚卸しに漏れがないか
AI方針・AI目標が現在の事業やAI利用状況に合っているか
AIリスクアセスメントを実施し、必要な対策へつなげているか
必要なAIシステム影響評価を実施しているか
適用宣言書が現在のリスクや管理策と整合しているか
作成した規程・手順が実際に運用されているか
運用したことを示す記録が残っているか
必要な教育を実施し、記録しているか
内部監査を実施し、記録しているか
マネジメントレビューを実施し、記録しているか
内部監査などで確認された問題への対応が進んでいるか
審査対象となる担当者が自分の役割を説明できるか

ただし、このチェック項目も認証審査の完全な確認リストではありません。自社のAIMS、事業、AIに固有のリスクや要求事項まで含めて確認することが重要です。

不適合を指摘されたら認証できない？

セカンドステージで不適合を指摘されたからといって、その時点で直ちに「認証失敗」と決まるわけではありません。

認証機関が定める手続きに従い、必要な是正対応を行います。

不適合の内容によっては、たとえば以下のような対応が必要になります。

発生している問題の修正
不適合が発生した原因の確認
必要な是正処置の検討・実施
同じ問題が再発しないための対応
是正したことを示す証拠の提出
認証機関による対応内容の確認

JQAでも、セカンドステージで不適合が検出された場合には、是正処置計画書または是正処置報告書などの対応を踏まえて登録の可否を判定する仕組みとなっています。

不適合の区分や対応期限、確認方法などは認証機関や不適合の内容によって異なるため、実際に指摘を受けた場合には審査報告書と認証機関からの案内を確認してください。

不適合を出さないために問題を隠すのではなく、問題を自ら発見し、原因を確認して改善できるAIMSを作ることが重要です。

参照元：日本品質保証機構（JQA）「ご請求／お支払い」
日本品質保証機構（JQA）「JQAマネジメントシステム審査登録規則」

事前審査・ギャップ分析は必要？

正式なISO/IEC 42001認証審査へ進む前に、自社のAIMSと規格要求事項の差を確認するギャップ分析や、認証機関が提供する任意の認証前評価などを活用する方法もあります。

ただし、こうした事前評価はISO/IEC 42001認証取得の必須条件ではありません。

BSIでは、正式な認証プロセスを始める前にAIMSの成熟度や準備状況を確認する任意の「Pre-Certification Assessment」を提供しており、ギャップや弱点、改善が必要な領域を把握するための評価と位置付けています。

また、BSIはこの認証前アセスメントについて、正式なStage1とは別のものであり、AIMSの導入方法を指導するコンサルティングでもないと説明しています。

そのため、「事前審査を受ければ認証できる」「指摘された箇所だけ直せば必ず通る」と考えるのではなく、自社の準備不足を早期に把握する手段の一つとして利用を検討しましょう。

参照元：BSI「ISO/IEC 42001 AI Management System Pre-Certification Assessment」

ISO/IEC 42001の審査準備を自社だけで進めるのが難しい場合

ISO/IEC 42001の認証取得は、自社でAIMSを構築・運用して審査へ進むことも可能です。

一方で、認証直前になってから、規格要求事項への理解不足、AIリスク評価やAIシステム影響評価の不足、適用宣言書の整理不足、運用記録の不足などに気づくと、予定していた審査日程や認証取得時期に影響する可能性があります。

特に、通常業務と兼務しながら認証取得を進めている場合には、以下のような対応が担当者へ集中しやすくなります。

ISO/IEC 42001の要求事項の確認
AI利用状況の棚卸し
AIリスクアセスメント
AIシステム影響評価
適用宣言書の整理
AIMSに必要な文書・ルールの整備
運用記録の確認
内部監査
マネジメントレビューの準備
認証審査への準備

自社の知識やリソースだけで対応するのが難しい場合には、ISO/IEC 42001に対応するコンサルティング会社を利用する方法もあります。

もちろん、コンサルティング会社を利用したからといって、認証取得が保証されるわけではありません。不足している専門知識や準備工数を補い、自社担当者の負担を抑えながらAIMSを整える手段として検討することが重要です。

認証取得にかかる費用については、以下の記事も参考にしてください。

ISO/IEC 42001認証取得にかかる費用は？審査費用・コンサル費用を解説

取得希望時期から逆算した準備については、以下の記事で詳しく紹介しています。

ISO/IEC 42001認証取得までの期間は？取得期間の目安と短期取得のポイント

審査前にコンサルへ相談する価値は「模範回答」ではなく準備不足の確認

審査が近づくと、「審査員からこの質問をされたら何と答えればよいか」といった想定問答が気になるかもしれません。

しかし、認証審査に向けた外部支援の価値は、審査員へ答えるための模範回答を覚えることではありません。

重要なのは、自社で定めたAIMSと実際の現場運用とのギャップを減らすことです。

たとえば、文書ではAI利用時に事前承認が必要としているにもかかわらず、現場では承認なしで利用されていれば、想定問答だけを準備しても根本的な解決にはなりません。

審査前に外部の専門家へ相談する場合には、文書と現場の実態が一致しているか、不足しているリスク評価や影響評価、運用記録がないかなどを確認し、必要な改善につなげることが大切です。

担当者が一から規格を調べ、文書作成や各部署との調整まで抱え込むのではなく、必要な部分を外部へ任せることで、自社の工数を抑えながら認証取得準備を進めやすくなる場合があります。

FAQ：ISO/IEC 42001の認証審査に関する質問

ISO/IEC 42001の審査では何を確認されますか？: ISO/IEC 42001の認証審査では、AIMSが規格要求事項に沿って構築・運用され、有効に機能しているかを確認します。適用範囲や方針、リスク評価などの文書だけでなく、運用記録、担当者へのヒアリング、実際の業務プロセスなどを通して確認されます。具体的な審査内容は認証範囲やAIの利用・開発・提供状況などによって異なります。
Stage1とStage2の違いは何ですか？: Stage1は、AIMSの理解・構築状況や文書、適用範囲などを確認し、Stage2へ進むための準備状況を確認する段階です。Stage2では、AIMSが実際に運用され、有効に機能し、ISO/IEC 42001の要求事項に適合しているかを確認します。
ISO/IEC 42001の審査前にどんな書類を準備すればよいですか？: AIMSの適用範囲、AI方針・目標、AIシステムの情報、AIリスクアセスメント、AIシステム影響評価、適用宣言書、関連する規程・手順、教育記録、内部監査・マネジメントレビューの記録などが考えられます。ただし、必要な文書・記録は企業の認証範囲やAIの利用状況によって異なるため、固定的な書類リストとして考えないようにしましょう。
内部監査はISO/IEC 42001の審査前に必要ですか？: 必要です。少なくともJQAでは、内部監査が実施され、その記録がなければセカンドステージ審査を実施しないとしています。内部監査ではAIMSが要求事項や自社ルールに沿って運用されているかを確認し、課題が見つかれば必要な改善へつなげます。
マネジメントレビューは審査前に必要ですか？: 必要です。JQAでは、マネジメントレビューについても実施され、その記録があることをセカンドステージ審査の前提としています。トップマネジメントがAIMSの有効性、リスク、目標達成状況、内部監査結果、必要な改善や資源などを確認し、その結果を記録しておきましょう。
審査員から社員へも質問されますか？: 認証範囲や審査方法によっては、AIを利用・開発・提供する担当者などへヒアリングが行われることがあります。模範回答を暗記するのではなく、自分が利用しているAIや守るべきルール、問題発生時の報告方法など、自分の実際の業務について説明できる状態にしておくことが重要です。
ISO/IEC 42001の審査で不適合が出たら認証できませんか？: 不適合が指摘された時点で直ちに認証できないと決まるわけではありません。認証機関の手続きに従って、必要な修正や原因分析、是正処置を行い、その内容が確認されたうえで認証の可否が判断されます。不適合の区分や対応期限などは認証機関へ確認してください。

まとめ｜ISO/IEC 42001審査は「文書」と「実際の運用」の両方を確認する

ISO/IEC 42001の初回認証審査は、ファーストステージとセカンドステージの2段階で進みます。

ファーストステージでは、AIMSの構築状況、文書、適用範囲、主要プロセスなどを確認し、セカンドステージへ進める準備が整っているかを確認します。

一方、セカンドステージでは、構築したAIMSが実際の業務で運用され、有効に機能し、ISO/IEC 42001の要求事項に適合しているかを確認します。

そのため、審査対策として書類をそろえるだけでは十分ではありません。AIリスクへの対応や教育、運用、監視、改善などを実際に行い、その証拠となる記録を残しておく必要があります。

特に、内部監査とマネジメントレビューはセカンドステージ前に実施し、記録を残しておくことが重要です。

また、不適合や問題を恐れて隠すのではなく、自社で課題を発見し、原因を確認し、改善へつなげられるAIMSを構築することがISO/IEC 42001の継続的な運用につながります。

認証直前になって準備不足へ気づかないよう、適用範囲、要求事項、AIリスク、必要な文書・記録、現場での運用を早い段階から確認しておきましょう。

自社だけでの対応が難しい場合には、ISO/IEC 42001に詳しいコンサルティング会社を活用し、専門知識や準備工数を補いながら認証取得を進めることも選択肢の一つです。