ISO 42001 落地第一步：AI 管理体系策划

质量与文明 | ISO 42001 系列②

导语

上篇介绍了 ISO 42001 是什么、为什么重要。今天接着讲：企业决定要做 ISO 42001，第一步到底怎么走？

很多企业的做法是：买标准 → 写文件 → 等审核。但 ISO 42001 的核心不是"写文件"，而是建立 AI 风险治理体系。第一步走偏，后面全是补丁。

ISO 42001 的管理体系框架

ISO 42001 采用 高阶结构（HLS），与 ISO 9001、ISO 14001 框架一致，便于整合现有管理体系。

核心章节（Clause 4~10）：

条款：Clause 4内容：组织环境　关键输出：AI 治理范围、相关方需求

条款：Clause 5内容：领导作用　关键输出：AI 方针、角色职责

条款：Clause 6内容：策划　关键输出：风险评估 + 目标设定（最核心）

条款：Clause 7内容：支持　关键输出：人员能力、意识培训

条款：Clause 8内容：运行　关键输出：AI 生命周期过程控制

条款：Clause 9内容：绩效评价　关键输出：监控、测量、内审

条款：Clause 10内容：改进　关键输出：不符合项纠正、持续改进

第一步的重点在 Clause 6（策划）

——AI 风险评估做对了，后面才有意义。

落地第一步：确定 AI 治理范围

企业先做一件事：盘点组织内所有 AI 应用，确定 ISO 42001 管理体系覆盖的范围。

范围清单至少包括：

• AI 系统名称 / 用途 / 部署位置
• AI 类型（生成式 / 判别式，高风险 / 有限风险）
• 涉及的数据类型（个人信息 / 商业数据 / 公开数据）
• 是否影响决策（招聘 / 信贷 / 医疗诊断等）

生活类比

：就像做 APQP 之前先确定"这个项目管什么产品"——范围不清楚，后面的 FMEA、控制计划都会跑偏。

落地第二步：AI 风险评估（Clause 6.1）

这是 ISO 42001 最具特色的要求，没有通用 SOP，必须结合组织自身场景。

评估框架建议（参考 ISO/IEC 23894）：

1. 识别 AI 风险源
   ：数据偏见、模型漂移、提示注入、过度依赖 AI 输出……
2. 评估风险影响
   ：对准确性、公平性、安全性、合规性的影响
3. 确定风险等级
   ：高 / 中 / 低（结合可能性和影响程度）
4. 制定应对措施
   ：接受 / 降低 / 转移 / 避免

关键认知

：ISO 42001 不要求"零风险"，要求有系统的方法识别和管理风险。

落地第三步：建立 AI 治理组织架构

ISO 42001 Clause 5 要求"领导作用"，具体落地需要明确的角色分工：

角色：AI 治理负责人职责：整体责任、方针批准　通常由谁担任：高管层（CTO / CRO）

角色：AI 管理者代表职责：体系日常运行、内审组织　通常由谁担任：质量负责人 / 合规负责人

角色：AI 系统负责人职责：具体 AI 系统的风险评估和实施　通常由谁担任：算法负责人 / 产品经理

角色：内审员职责：体系审核、不符合项跟踪　通常由谁担任：质量工程师（需培训）

小企业可以一人多职，但职责必须明确、有书面记录。

常见的"第一步"误区

误区一："先把文件写出来"

错。没有风险识别，写出来的程序文件是空中楼阁。正确顺序：风险评估 → 确定控制措施 → 再写文件。

误区二："ISO 42001 就是 AI 伦理宣言"

错。ISO 42001 是可审核的管理体系标准，需要有证据、有记录、有第三方审核。纯伦理宣言过不了认证审核。

误区三："我们只用第三方 AI，不需要做 ISO 42001"

错。使用第三方 AI 的企业，仍然需要管理AI 使用的风险（数据泄露、输出可靠性、合规性），ISO 42001 同样适用。

本周行动建议

如果企业决定启动 ISO 42001：

1. 本周
   ：盘点 AI 应用清单，确定治理范围
2. 下周
   ：开展 AI 风险评估试点（选 1~2 个系统先跑）
3. 一个月内
   ：建立 AI 治理组织架构，批准 AI 方针
4. 三个月内
   ：完成内部审核，准备第三方认证

小结

ISO 42001 落地的第一步，不是买标准、不是写文件，而是搞清楚"管什么、风险在哪里"。

三个核心认知：

• ISO 42001 采用 HLS 高阶结构，便于与现有管理体系整合
• Clause 6（策划）是核心，AI 风险评估是第一步中的第一步
• 治理组织架构必须明确角色职责，不能"人人负责、没人负责"

质量负责人的立刻行动：

今天起，盘点你所在组织的 AI 应用清单——哪怕只有 3 个系统，先建立认知框架。

声明：本文基于 ISO 42001:2023 公开资料及 ISO/IEC 23894 AI 风险管理指南整理，仅供学习参考。具体条款要求请以 ISO 官方正式发布文本为准。

下期预告：ISO 42001 内审实战——AI 管理体系审核查什么、怎么查？

#ISO42001 #AI管理体系 #人工智能治理 #质量与文明