ISO/IEC 42001取得に必要な文書・記録とは？準備すべきものを解説

ISO/IEC 42001取得にはどんな文書・記録が必要？

ISO/IEC 42001の認証取得を検討すると、「必要書類は何種類あるのか」「AIポリシーや規程を作れば審査を受けられるのか」と気になる方も多いでしょう。

ISO/IEC 42001では、単に決められた名称の書類をそろえるのではなく、AIMS（AIマネジメントシステム）に必要な「文書化した情報（documented information）」を作成・維持・管理する考え方が採用されています。

文書化した情報には、大きく分けて次の2つがあります。

ISO/IEC 42001の要求事項によって文書化が求められる情報
AIMSを有効に運用するために組織自身が必要と判断した情報

そのため、「ISO/IEC 42001を取得するには必ず○種類のWordファイルが必要」といった固定的な書類数が決まっているわけではありません。

必要となる文書化の程度は、組織の規模、活動・プロセス・製品・サービス、業務の複雑さ、担当者の力量、対象となるAIシステム、自社がAIを開発・提供・利用するどの立場なのかなどによって変わります。

なお、認証機関へ申し込む際に提出する見積依頼書や申請書などと、AIMSを構築・運用するための文書・記録は別のものです。本記事では、主にISO/IEC 42001へ対応し、認証審査でAIMSの運用状況を示すために必要となる文書化した情報について解説します。

参照元：ISO「ISO/IEC 42001:2023 - AI management systems」
日本規格協会「JIS Q 42001:2025」

まず知っておきたい「文書」と「記録」の違い

ISO/IEC 42001への対応では、「規程や手順書を作ること」と「実際に運用した証拠を残すこと」の両方が重要です。

わかりやすく分けると、文書は「これからどのように行うか」を定めるもの、記録は「実際に何を行い、どのような結果になったか」を示すものと考えられます。

種類	役割	例
文書・ルール	業務やAIMSをどのように運用するかを定める	AI方針、リスクアセスメント手順、AI利用ルール、内部監査計画など
記録・証拠	決めた仕組みを実際に運用した結果を示す	リスク評価結果、教育記録、内部監査結果、マネジメントレビュー記録など

たとえば、AIリスクアセスメントの評価方法を定めた資料があっても、実際に対象AIについてリスクを評価した記録がなければ、運用していることを十分に示せません。

同様に、内部監査のチェックリストを作成しただけではなく、実際に監査を行い、その結果や発見した課題を記録する必要があります。

なお、「文書化した情報」はWordやExcelだけを意味するものではありません。必要な情報を適切に管理できるのであれば、紙の文書、社内Wiki、文書管理システム、台帳、チケット、ログなど、さまざまな媒体で管理することができます。

ISO/IEC 42001で準備する文書・記録を一覧で整理

ISO/IEC 42001では一律の「必須書類セット」があるわけではありませんが、AIMSを構築・運用するうえで中心となる文書化した情報があります。

以下は、規格上文書化が求められる情報や、適用する管理策・自社の業務内容に応じて必要となる代表的な情報を整理したものです。

分類	主な文書・記録	位置付け
AIMSの基本情報	AIMSの適用範囲	規格上、文書化しておくことが重要な情報
AI方針・目標	AI方針、AI目標	規格上、文書化が求められる情報
リスク・影響評価	AIリスクアセスメントのプロセス・結果、AIリスク対応、AIシステム影響評価	規格上、文書化・記録が重要となる情報
AI管理策	適用宣言書（SoA）、リスク対応計画、管理策に関する規程・記録	リスク対応・附属書Aとの関係で重要となる情報
組織・力量	責任分担、教育・力量の証拠	規格要求・適用管理策に応じて整理
AI運用	AIシステム台帳、利用ルール、ライフサイクル、データ、外部AI管理など	適用範囲・管理策・業務内容に応じて整備
監視・評価	監視・測定・分析・評価の結果	AIMSの有効性を示す記録
内部監査	監査プログラム、監査結果	実施した証拠を文書化して残す
マネジメントレビュー	レビュー結果・決定事項	トップマネジメントによる確認結果を記録
不適合・改善	不適合、原因、是正処置、処置結果	問題への対応・改善を示す記録

以下では、それぞれについて具体的に解説します。

AIMSの適用範囲

まず明確にする必要があるのが、ISO/IEC 42001をどの組織・事業・拠点・サービス・AIシステムへ適用するのかというAIMSの適用範囲です。

適用範囲を検討する際には、たとえば次のような情報を整理します。

対象となる部署・組織
対象となる事業・サービス
対象となる事業所・拠点
対象となるAIシステムやAIサービス
自社がAIを開発・提供・利用するどの立場なのか

ISO/IEC 42001では、AIMSの適用範囲を文書化した情報として利用できる状態にすることが求められます。

文書上では特定のAIだけを対象としているにもかかわらず、実際には対象部署でほかの生成AIサービスが広く利用されているなど、記載した適用範囲と実態が食い違わないようにすることも重要です。

認証取得までの全体的な流れについては、以下の記事もあわせてご覧ください。

ISO/IEC 42001認証取得の流れとは？準備から審査・取得まで解説

AI方針

ISO/IEC 42001では、トップマネジメントがAIに関する方針を定め、文書化した情報として利用できる状態にすることが求められます。

AI方針では、自社の事業やAI活用の目的を踏まえながら、AIをどのような考え方で開発・提供・利用していくのかを示します。

たとえば、自社に適用される要求事項への対応やAIMSの継続的な改善などを踏まえ、AIに関する組織としての方向性を明確にします。

また、AI方針は作成して保管するだけでなく、組織内へ適切に伝え、必要に応じて利害関係者が利用できる状態にします。

他社が公開しているAIポリシーをコピーして文書を作ることが目的ではありません。自社の事業・リスク・実際のAI利用ルールと整合させることが重要です。

AI目標と達成計画

AI方針を具体的な活動へ落とし込むために、関連する部門や階層でAI目標を設定します。

AI目標は、実行可能な場合には測定できる内容とし、適用される要求事項を踏まえて設定し、監視・更新します。また、AI目標そのものは文書化した情報として管理します。

目標を達成するためには、たとえば以下を整理します。

何を実施するのか
どのような資源が必要か
誰が責任を持つのか
いつまでに行うのか
結果をどのように評価するのか

たとえば「安全にAIを利用する」といった抽象的な方針だけで終わらせず、教育実施率や対象AIのリスク評価実施状況など、AIMSとして実際に進捗を確認できる活動へ落とし込むことが重要です。

AIリスクアセスメントに関する文書・記録

AIリスクアセスメントは、ISO/IEC 42001への対応で特に重要となるプロセスです。

組織は、自社でどのようにAIリスクを特定・分析・評価するのかを定め、そのリスクアセスメントプロセスについて文書化した情報を保持します。

実務では、たとえば以下のような内容を整理します。

リスク評価の対象となるAI
リスクを特定する方法
リスクを分析・評価する基準
発生可能性や影響度など自社で設定した評価軸
リスクレベル
対応の優先順位

さらに、AIMSの運用では、実際に実施したAIリスクアセスメントの結果についても記録を残します。

つまり、「どのように評価するか」というルールと「実際に評価した結果」の両方が重要です。

すべての企業が同じExcelシートや評価尺度を使う必要はありません。自社の事業、AIシステム、リスクの特性に合った方法を設定しましょう。

AIリスクアセスメントについて詳しく知りたい方は、以下の記事も参考にしてください。

AIリスクアセスメントの具体的な進め方と注意点

AIリスク対応に関する文書・記録

AIリスクを評価した後は、確認したリスクに対してどのように対応するのかを決定します。

ISO/IEC 42001では、AIリスク対応のプロセスを定め、必要な管理策を決定し、リスク対応計画を策定します。

実務では、たとえば以下のような情報を関連付けて整理します。

対象となるAIリスク
リスクへの対応方針
必要となる管理策
対応責任者
実施期限
対応後に残るリスク
必要な承認
実施した対応の結果

リスクアセスメント表を作成しただけで終了するのではなく、「リスクを評価する→対応を決める→管理策を実装する→有効性を確認する」ところまでつなげることが重要です。

適用宣言書（Statement of Applicability／SoA）

ISO/IEC 42001認証取得を進めるうえで重要な文書の一つが、適用宣言書（Statement of Applicability／SoA）です。

適用宣言書では、AIリスクへの対応に必要となる管理策を整理し、どの管理策を採用するのか、または適用しないのか、その判断根拠を明確にします。

ISO/IEC 42001の附属書AにはAIに関する参照管理策がまとめられていますが、附属書Aの管理策すべてに機械的に「○」を付けることが適用宣言書の目的ではありません。

自社のリスク対応に必要な管理策を決定し、附属書Aと照合します。また、附属書Aだけでは自社固有のリスクへの対応が不足する場合には、独自の管理策を追加することもできます。

適用宣言書について詳しく知りたい方は、以下の記事もご覧ください。

ISO/IEC 42001の附属書Aとは？管理策と適用宣言書をわかりやすく解説

AIシステム影響評価に関する文書・記録

ISO/IEC 42001では、AIリスクアセスメントに加えて、AIシステムによる影響について評価する仕組みも設けます。

AIシステム影響評価では、AIシステムの開発・提供・利用によって、個人や集団、社会などへどのような影響が生じる可能性があるのかを検討します。

評価する際には、たとえば以下のような情報を踏まえます。

対象となるAIシステム
AIシステムの意図された利用方法
予見可能な誤用
AIが利用される技術的・社会的な環境
影響を受ける可能性がある個人・集団など
関係する法域や要求事項

評価結果については文書化して残します。

AIリスクアセスメントとAIシステム影響評価は関連しますが、同じものではありません。リスクアセスメントではAIMSの目的達成に影響するAI関連リスクを特定・分析・評価する一方、影響評価ではAIシステムが人や社会などへ与える可能性のある影響を確認します。

それぞれを完全に切り離すのではなく、影響評価で把握した結果をリスク評価へ反映するなど、相互に関連付けることが重要です。

AIに関する役割・責任を整理する文書

AIMSを運用するには、AIに関する責任や権限を明確にする必要があります。

たとえば、以下のような役割を誰が担うのか整理しておきましょう。

AIMS全体を統括する責任者
AIシステムを管理する担当者
AIリスクを評価する担当者
AIの導入・利用を承認する責任者
AIを実際に利用する部門
問題やインシデント発生時の対応責任者
AIMSの状況をトップマネジメントへ報告する担当者

形式は、組織図、職務分掌、責任分担表など、自社で管理しやすい方法で構いません。

小規模企業だからといって、ISO/IEC 42001対応のために大量の専任役職を新設しなければならないわけではありません。既存の組織体制を活用しながら、誰が何を判断・実行するのかが曖昧にならないようにすることが重要です。

教育・力量に関する記録

AIMSに影響する業務を担当する人については、その業務を行うために必要な力量を明確にし、必要に応じて教育や研修を実施します。

また、担当者が必要な力量を持っていることを示す適切な文書化した情報を残します。

実務では、たとえば以下のような情報が証拠になります。

必要な知識・技能
実施した教育・研修
受講者
受講日時
研修内容
必要に応じた理解度・力量の確認結果

研修資料が共有フォルダに保存されているだけでは、必要な担当者が実際に教育を受けた証拠にはなりません。

また、すべての社員へ同じ高度なAI技術教育を行う必要があるとは限りません。AIを開発する担当者、AIを業務利用する社員、承認を行う管理者など、役割に応じて必要な力量を整理することがポイントです。

AIシステムの一覧・台帳

自社でどのようなAIを開発・提供・利用しているのかを把握するために、AIシステムやAIサービスの一覧を管理すると実務を進めやすくなります。

たとえばAI台帳では、以下のような情報を整理する方法があります。

AIシステム・サービス名
利用目的
利用部署
管理責任者
自社開発か外部サービスか
外部サービス提供者
使用・入力するデータ
リスク評価結果
利用中・停止中などの状態

ただし、ISO/IEC 42001で必ず「AI台帳」という名称・様式の書類を作らなければならないという意味ではありません。

AIの棚卸し、リスク評価、管理策の適用、変更管理などを実務で行いやすくするための文書例として、自社に合った方法で管理しましょう。

AIシステムのライフサイクルに関する文書・記録

自社でAIシステムを設計・開発・提供する場合には、AIシステムのライフサイクルを通じた管理に関する文書や記録も重要になります。

対象となる業務によって、たとえば以下のような情報を管理します。

AIシステムの目的・要求事項
設計・開発内容
仕様書
検証・テスト結果
妥当性確認
導入記録
運用・モニタリング記録
変更履歴
廃止に関する記録

どこまでの文書が必要になるかは、自社がAIシステムのライフサイクルでどのような役割を担っているかによって変わります。

完成した外部AIサービスを利用する企業へ、自社開発企業と同じ設計書や開発テスト記録を一律に求めるものではありません。自社の役割とリスクに応じて必要となる管理策・証拠を判断することが重要です。

データ管理に関する文書・記録

AIシステムで利用するデータについても、適用する管理策や自社の事業内容に応じて必要な情報を管理します。

たとえば、以下のような項目が考えられます。

データの取得元
利用目的
データの品質
データの来歴
データの準備・加工方法
アクセス権限
データの保管・削除

AIのデータ管理は、個人情報だけを確認すればよいものではありません。AIの目的に対してデータが適切か、必要な品質を満たしているかなども確認する必要があります。

また、自社で学習データを準備しない外部生成AI利用企業では、従業員が入力する情報や、サービス提供者が入力データをどのように扱うのかといった点が重要になる場合があります。

外部AIサービス・委託先管理に関する文書・記録

ChatGPTなどの生成AIサービス、AI搭載SaaS、AI API、クラウドサービス、外部モデルなどを利用している場合には、外部サービスとの関係についても管理する必要があります。

自社の利用形態に応じて、たとえば以下を整理します。

サービス選定時の確認・評価
契約内容・利用規約
自社とサービス提供者の責任分担
情報セキュリティ上の条件
入力データや保存データの取り扱い
サービス変更時の対応
継続的なサービス評価

委託先評価表、AIサービス一覧、契約確認記録などの形式で管理する方法があります。

外部サービスを利用しているからといって、AIに関するすべての管理をサービス提供者へ任せられるわけではありません。自社が管理すべき範囲を明確にしておきましょう。

AI利用ルール・運用手順

AIを実際に業務で利用する従業員が守るルールについても、自社のリスクに応じて文書化します。

たとえば、実務上は以下のような事項を整理することがあります。

利用を認めるAIサービス
AIを利用できる業務・目的
禁止・制限する用途
AIへ入力してよい情報・入力してはいけない情報
AI出力を利用する際の確認方法
人によるレビューが必要な業務
AI利用時の承認方法
問題が発生した場合の報告先

これらすべてがISO/IEC 42001で全組織へ同じ形で要求されているわけではありません。

附属書Aの管理策や自社のAIリスクを現場で実行できる具体的なルールへ落とし込むための文書として検討します。

コミュニケーションに関する文書・記録

AIMSを適切に運用するためには、AIに関する情報を誰へ、いつ、どのように伝えるのかを整理することも重要です。

たとえば、以下を検討します。

何を伝えるのか
いつ伝えるのか
誰へ伝えるのか
どの方法で伝えるのか

対象は社内だけとは限りません。自社のAIサービスやAIMSの適用範囲によっては、顧客、ユーザー、取引先などへの情報提供も必要になる場合があります。

AIシステムの利用方法や制約、問題発生時の連絡など、必要なコミュニケーションとその証拠を管理できるようにしておきましょう。

監視・測定・分析・評価の記録

AIMSを構築した後は、その仕組みが有効に機能しているのかを継続的に確認します。

ISO/IEC 42001では、監視・測定・分析・評価について、たとえば以下を決定します。

何を監視・測定するのか
どのような方法で測定・分析するのか
いつ監視・測定を行うのか
いつ結果を分析・評価するのか

そして、実施した結果について文書化した情報を残します。

ここで確認するのはAIモデルの精度など技術性能だけではありません。教育の実施状況、リスク対応の進捗、インシデント状況、AI目標の達成状況など、AIMS自体が有効に機能しているかという視点も必要です。

内部監査に関する文書・記録

内部監査では、自社のAIMSがISO/IEC 42001の要求事項や、自社で定めたルールに適合し、有効に運用されているかを確認します。

実務では、たとえば以下の情報を管理します。

内部監査プログラム・計画
監査目的
監査基準
監査範囲
監査担当者
実施日
監査結果
発見した不適合・改善事項

重要なのは、内部監査用のチェックリストを作ることではなく、実際に監査を実施し、その結果を証拠として残すことです。

認証審査でどのような点が確認されるのかについては、以下の記事も参考にしてください。

ISO/IEC 42001の審査では何を確認される？Stage1・Stage2の違いを解説

マネジメントレビューに関する記録

トップマネジメントは、AIMSが引き続き適切か、有効に機能しているかを計画した間隔で確認します。

マネジメントレビューでは、たとえば以下のような情報を確認します。

前回のレビューで決定した対応状況
AIMSに関係する内外の状況の変化
利害関係者の要求の変化
不適合・是正処置の状況
監視・測定結果
内部監査結果
継続的改善の機会

そして、レビューによって決定した改善やAIMSの変更などについて、結果を記録します。

「経営会議でAIMSについて話した」というだけでなく、何を確認し、どのような判断を行ったのかが分かる状態にしておきましょう。

不適合・是正処置に関する記録

AIMSの運用や内部監査、認証審査などで不適合が見つかった場合には、問題を修正するだけでなく、必要に応じて原因を確認し、再発を防ぐための是正処置を行います。

記録としては、たとえば以下を残します。

どのような不適合が発生したか
どのような修正を行ったか
不適合の原因
実施した是正処置
是正処置の結果
対応が有効だったかの確認

問題の記録が存在すること自体が審査上のマイナスというわけではありません。

問題を発見した際に、原因を確認して適切に是正し、AIMSの改善へつなげられる仕組みになっていることが重要です。

AIインシデント・苦情等の記録

自社のAI利用やサービス提供に関係して、インシデント、利用者からの苦情、問題の報告などが発生する場合があります。

その場合には、自社で定めたルールに従って必要な情報を記録し、対応へつなげます。

発生した問題の内容
発生日・報告日
影響範囲
初動対応
原因確認
必要な是正・再発防止
顧客等への情報提供

どこまでの記録が必要になるかは、適用している管理策、AIシステムの用途、事業内容などによって異なります。

こうした記録も、AIリスク評価や管理策を見直す際の重要な情報になります。

「規格上重要な文書化情報」と「実務上用意する文書例」を分けて考える

ISO/IEC 42001の文書を整理する際には、規格本文で文書化した情報として明示されているものと、附属書Aの管理策や自社の運用を実現するために作成する実務文書を混同しないことが重要です。

規格上、文書化した情報として特に重要なもの	適用範囲・管理策・業務に応じて用意する実務文書例
AIMSの適用範囲 AI方針 AI目標 AIリスクアセスメントのプロセス・結果 AIリスク対応のプロセス・結果適用宣言書 AIリスク対応計画 AIシステム影響評価の結果力量を示す証拠監視・測定・分析・評価の結果内部監査の実施・結果マネジメントレビュー結果不適合・是正処置の証拠	AIシステム台帳 AI利用ガイドライン AIサービス導入・承認申請書外部AIサービス評価表データ管理台帳 AIシステム設計書・仕様書テスト・検証記録変更管理記録 AIインシデント記録委託先・サプライヤー評価記録ユーザー向け説明資料 AI利用承認記録

右側の文書すべてを全企業が作成する必要があるわけではありません。

自社のAIリスク、適用する附属書Aの管理策、開発・提供・利用という役割に応じて、実際に管理策を運用するために必要な文書・記録を追加します。

文書はWord・Excelで作らないといけない？

ISO/IEC 42001の文書化した情報は、特定のファイル形式に限定されるものではありません。

たとえば、以下のような媒体で管理することが考えられます。

紙の文書
Word
Excel・スプレッドシート
社内Wiki
文書管理システム
GRCツール
ワークフローシステム
チケット管理システム
各種システムログ

重要なのはファイル形式ではなく、必要なときに利用でき、内容が適切に保護・管理されていることです。

既存の社内システムで十分管理できるのであれば、ISO/IEC 42001取得だけを目的として大量のWordファイルを新たに作成する必要はありません。

参照元：BSI「Prepare for ISO/IEC 42001」

ISO/IEC 42001では文書そのものの管理も必要

AIMSに必要な文書を一度作成したら、それで終わりではありません。

ISO/IEC 42001では、文書化した情報を作成・更新・管理する仕組みも必要です。

自社の運用に応じて、たとえば以下のような事項を管理します。

文書名・日付・作成者などの識別
使用する形式・媒体
内容のレビュー・承認
配布・アクセス権限
検索・閲覧方法
保管・保護
変更・版管理
保存期間
廃棄方法

たとえば、AI利用ルールを更新したにもかかわらず、旧版のルールが部署ごとに残っていると、現場の運用がばらつく原因になります。

また、法令、契約書、外部AIサービスの利用規約など、外部から提供された文書であってもAIMSの運用に必要なものは適切に管理することが重要です。

テンプレートを使えばISO/IEC 42001を取得できる？

ISO/IEC 42001に対応した規程やリスクアセスメント、適用宣言書などのテンプレートを活用すること自体に問題があるわけではありません。

ゼロから文書の構成を考える必要がなくなるため、文書作成を効率化する方法の一つになります。

一方で、テンプレートへ会社名を入力するだけでISO/IEC 42001への対応が完了するわけではありません。

少なくとも以下のような自社固有の条件を反映する必要があります。

自社のAI利用・開発・提供状況
AIMSの適用範囲
組織体制・責任者
AIリスク
使用しているAIシステム・サービス
法令・契約上の要求事項
自社で採用する管理策

他社向けの規程をコピーした結果、文書では「AI利用時に責任者の承認が必要」と書かれているものの、実際には誰も承認していないといった状態では、AIMSの実態と一致しません。

テンプレートは文書を作るための出発点として活用し、最終的には自社の業務へ合わせて実装・運用することが重要です。

ISMS（ISO/IEC 27001）の文書を流用できる？

すでにISMS（ISO/IEC 27001）を運用している企業では、既存の仕組みをISO/IEC 42001のAIMS構築へ活用できる可能性があります。

たとえば、以下のような仕組みには共通する部分があります。

文書管理
リスク管理の考え方
教育・力量管理
内部監査
マネジメントレビュー
不適合・是正処置

既存の社内様式やワークフローを活用すれば、すべてをゼロから構築するよりも効率的に進められる場合があります。

ただし、ISO/IEC 42001にはAIリスクアセスメント、AIシステム影響評価、AI固有の管理策、AIライフサイクルなど、ISMSとは異なる事項があります。

ISMSの規程の「情報セキュリティ」という言葉を「AI」へ置き換えるだけでは十分ではありません。

ISO/IEC 42001に固有の要求事項や自社のAI利用実態を踏まえて、必要な文書・記録を追加・調整しましょう。

両規格の違いについては、以下の記事も参考にしてください。

ISMSとISO/IEC 42001の違いとは？【徹底比較】

審査前に文書・記録をどう確認する？

ISO/IEC 42001の認証審査が近づいてきたら、書類の有無だけではなく、文書同士や実際の運用との整合性を確認しましょう。

文書が最新版になっているか
必要なレビュー・承認が行われているか
AIMSの適用範囲と実際のAI利用状況が一致しているか
AIリスク評価とリスク対応がつながっているか
リスク対応と適用宣言書が整合しているか
適用するとした管理策が実際に実装されているか
管理策を運用した証拠が残っているか
必要な教育を実施し、記録しているか
内部監査を実施し、結果を記録しているか
マネジメントレビューを実施し、結果を記録しているか
不適合や指摘事項への是正記録があるか
文書に書かれている内容と社員の実際の業務が一致しているか

認証審査は「必要なWordファイルが存在するか」を確認するだけのものではありません。

文書、記録、担当者へのヒアリング、実際の業務を通じて、定めた仕組みが本当に運用されているかが重要になります。

認証審査について詳しく知りたい方は、以下の記事もご覧ください。

ISO/IEC 42001の審査では何を確認される？Stage1・Stage2の違いを解説

参照元：BSI「ISO/IEC 42001 AI Management System Pre-Certification Assessment」

ISO/IEC 42001の文書作成を自社で行う場合の負担

ISO/IEC 42001の文書作成は、単に規程やマニュアルをWordで作る作業ではありません。

文書を作成する前後には、たとえば次のような工程があります。

社内で利用・開発・提供しているAIの棚卸し
関係部署へのヒアリング
AIMSの適用範囲設定
ISO/IEC 42001の要求事項の理解
AIリスクアセスメント
AIリスク対応方法の検討
管理策の選定
適用宣言書の作成
AIシステム影響評価
必要な規程・手順書の整備
関係者への教育
AIMSの実運用
運用記録の作成・管理
内部監査
マネジメントレビュー

さらに、それぞれの文書の内容が矛盾しないようにする必要があります。

たとえば、一方の規程では生成AIへの顧客情報入力を禁止しているにもかかわらず、別の運用マニュアルでは承認なしに入力できることになっていれば、現場がどちらに従えばよいかわかりません。

また、新しいAIサービスを導入したり、AIの利用目的を変更したりすれば、リスク評価、適用宣言書、関連する規程・台帳などの更新が必要になる場合もあります。

文書作成・管理をコンサルへ依頼する方法もある

自社だけで規格を理解し、必要な文書を洗い出し、実際の運用まで構築するのが難しい場合には、ISO/IEC 42001に対応するコンサルティング会社へ相談する方法もあります。

支援内容は会社によって異なりますが、たとえば以下のようなサポートがあります。

現状調査・ギャップ分析
AI利用状況の棚卸し
AIMS適用範囲の整理
AIリスクアセスメント支援
AIシステム影響評価支援
適用宣言書の作成支援
必要な規程・手順書の作成支援
社員教育
内部監査支援
認証審査への準備

ただし、コンサルティングサービスには、規程のひな形を提供することを中心としたものもあれば、担当者へのヒアリングから自社向けの文書整備、運用準備まで支援するものもあります。

自社の工数を抑えることを重視する場合には、料金だけでなく、「どの文書まで作成してもらえるのか」「自社側にどの作業が残るのか」「運用や記録作成まで支援してもらえるのか」を確認するとよいでしょう。

なお、コンサルへ依頼したからといって、AIMSの運用をすべて丸投げできるわけではありません。AIの利用実態やリスク、社内での意思決定、実際の運用には自社側の関与も必要です。

ISO/IEC 42001取得にかかる費用については、以下の記事でも解説しています。

ISO/IEC 42001認証取得にかかる費用は？審査費用・コンサル費用を解説

文書・記録を減らすことだけを目的にしない

ISO/IEC 42001を取得・維持するうえで、必要以上に複雑な規程や大量の書類を作成すると、運用負担が大きくなる可能性があります。

既存の文書管理システムやISMSの仕組みなどを活用し、自社に必要な情報をシンプルに管理することは有効です。

一方で、「文書をできるだけ少なくしたい」という理由で、リスク評価結果や内部監査結果など、AIMSを運用した証拠となる必要な記録まで残さないのは適切ではありません。

「文書が少ない＝優れたAIMS」でも「文書が多い＝しっかりしたAIMS」でもありません。

自社のリスクや業務に必要な情報を、現場が無理なく継続できる方法で管理することが大切です。

認証取得後もAIサービスや組織、法規制、リスクなどは変化する可能性があります。取得時だけではなく、維持・更新まで考えて文書管理の方法を設計しましょう。

FAQ：ISO/IEC 42001の文書・必要書類に関する質問

ISO/IEC 42001取得に必要な書類は何ですか？: 代表的なものとして、AIMSの適用範囲、AI方針、AI目標、AIリスクアセスメント、AIリスク対応、適用宣言書、AIシステム影響評価、力量の証拠、監視・測定結果、内部監査、マネジメントレビュー、不適合・是正処置などに関する文書化した情報があります。これに加えて、自社の適用範囲や管理策に応じてAI台帳、AI利用ルール、外部AIサービス管理記録などを整備します。
ISO/IEC 42001には必須文書が何種類ありますか？: 「必須文書は○種類」と固定されたファイル数が決められているわけではありません。ISO/IEC 42001では、規格で要求される文書化した情報に加えて、組織がAIMSを有効に運用するために必要と判断した情報を管理します。複数の情報を一つの文書で管理することもあれば、複数のシステムに分けて管理する場合もあります。
AI方針は必ず文書化する必要がありますか？: ISO/IEC 42001では、AI方針を文書化した情報として利用できる状態にすることが求められます。また、作成するだけではなく、組織内へ適切に伝え、必要に応じて利害関係者が利用できる状態にします。
AIリスクアセスメントは記録に残す必要がありますか？: 必要です。AIリスクアセスメントのプロセスについて文書化した情報を保持するとともに、実際に実施したAIリスクアセスメントの結果も記録します。「どのように評価するか」と「実際にどのような結果になったか」の両方を管理することが重要です。
適用宣言書（SoA）はISO/IEC 42001取得に必要ですか？: ISO/IEC 42001のAIリスク対応では、必要な管理策とその採用・除外理由などを整理した適用宣言書（Statement of Applicability／SoA）を作成します。附属書Aの管理策へ単純に○×を付けるのではなく、リスク評価・リスク対応・管理策の判断を関連付けて整理します。
AIシステム影響評価は文書化する必要がありますか？: AIシステム影響評価の結果は文書化して残します。AIシステムの意図された利用や予見可能な誤用、利用される技術的・社会的な環境などを踏まえて、個人・集団・社会等への影響を評価します。
内部監査・マネジメントレビューの記録は必要ですか？: 必要です。内部監査については監査プログラムの実施と結果を示す文書化した情報を残し、マネジメントレビューについても実施結果・決定事項を示す記録を残します。書類のひな形だけではなく、実際に実施した証拠が重要です。
ISO/IEC 42001の文書はWordやExcelで作る必要がありますか？: 特定のファイル形式に限定されません。紙、Word、Excel、社内Wiki、文書管理システム、GRCツール、チケット、ログなど、自社で適切に管理できる媒体を利用できます。必要なときに利用でき、保護・変更・保管などを適切に管理できることが重要です。
ISMS（ISO/IEC 27001）の文書をISO/IEC 42001でも利用できますか？: 文書管理、内部監査、マネジメントレビュー、教育、是正処置など、既存の仕組みを活用できる可能性があります。ただし、ISO/IEC 42001ではAIリスクアセスメントやAIシステム影響評価、AI固有の管理策などへの対応が必要になるため、ISMS文書をそのまま名称だけ変更すればよいわけではありません。
ISO/IEC 42001のテンプレートを使えば認証取得できますか？: テンプレートは文書作成を効率化する方法として利用できますが、テンプレートを埋めるだけで認証取得できるわけではありません。自社のAI利用状況、リスク、組織体制、管理策などに合わせて内容を調整し、実際に運用した記録を残す必要があります。

まとめ｜ISO/IEC 42001では書類の数より「文書と実際の運用がつながっていること」が重要

ISO/IEC 42001では、「認証取得には必須書類が○種類必要」といった固定されたファイル数が決められているわけではありません。

規格で求められる文書化した情報に加えて、自社のAIMSを有効に構築・運用するために必要な情報を整備します。

特に、AIMSの適用範囲、AI方針、AI目標、AIリスクアセスメント、AIリスク対応、適用宣言書、AIシステム影響評価、力量、監視・測定、内部監査、マネジメントレビュー、不適合・是正処置などに関する文書・記録が重要です。

また、附属書Aで採用した管理策や自社のAI利用状況に応じて、AIシステム台帳、AI利用ルール、データ管理、外部AIサービス管理、ライフサイクル管理などの文書・記録も整備します。

重要なのは、規程やテンプレートを作成することだけではありません。決めたルールを実際に運用し、その結果を証拠として記録する必要があります。

さらに、作成した文書は最新版を維持し、承認、アクセス、変更履歴、保管なども適切に管理しなければなりません。

ISO/IEC 42001を自社で取得する場合には、文書作成だけでなく、AIの棚卸し、リスク評価、管理策選定、影響評価、教育、運用、内部監査など幅広い対応が必要になります。

自社の担当者だけでは規格解釈や文書構築、運用記録の整備まで対応することが難しい場合には、ISO/IEC 42001に対応するコンサルティング会社を活用し、専門知識や社内工数を補うことも選択肢の一つです。