Industrial KnowledgeChecklist đánh giá nội bộ ISO 42001 là gì? Bộ câu hỏi cho điều 4–10 và Phụ lục A | Ví dụ
Nội dung bài viết 11 mục
- Đánh giá nội bộ AIMS là gì?
- Quy ước dùng checklist
- Phần 1 – Điều 4 đến 10
- Phần 2 – Phụ lục A theo 9 nhóm
- Phần 3 – Chấm mức sẵn sàng chứng nhận
- Phân loại phát hiện
- Ví dụ: đánh giá nội bộ ở công ty dệt nhuộm Long An (minh hoạ)
- Mẹo làm checklist trên Excel
- Lỗi hay gặp khi đánh giá nội bộ AIMS
- Câu hỏi thường gặp
- Bước tiếp theo
Đánh giá nội bộ (điều 9.2) là “buổi tổng duyệt” trước khi tổ chức chứng nhận đến. Với AIMS, chuyên gia đánh giá nội bộ không chỉ đọc quy trình mà phải hỏi được những câu như: “Mô hình đang chạy là phiên bản nào, được kiểm thử trên dữ liệu nào, ai duyệt?”. Bài này đưa ra một bộ checklist viết lại theo cấu trúc thường dùng trong bộ công cụ triển khai: câu hỏi đánh giá – bằng chứng khách quan – lỗi hay gặp, cho cả điều 4–10 và Phụ lục A, kèm cách chấm mức sẵn sàng chứng nhận.
Tóm tắt nhanh
- Đánh giá nội bộ (điều 9.2) là buổi tổng duyệt trước đánh giá chứng nhận, xác định AIMS phù hợp và được duy trì hiệu lực.
- Checklist phân loại câu hỏi: Y (bắt buộc điều 4–10), Y* (control Phụ lục A đã đưa vào SoA), N (thực hành tốt).
- Mỗi câu hỏi cần bằng chứng khách quan: hồ sơ có ngày, phỏng vấn, quan sát hệ thống AI chạy thật.
- Lỗi hay gặp: chỉ đọc tài liệu không xem log, không lấy mẫu theo hệ thống AI, chuyên gia đánh giá thiếu kiến thức AI cơ bản.
Đánh giá nội bộ AIMS là gì?
Là cuộc kiểm tra có kế hoạch, do người khách quan thực hiện, để xác định AIMS có phù hợp yêu cầu của tổ chức và ISO/IEC 42001, và có được thực hiện, duy trì hiệu lực hay không. Tổ chức phải có chương trình đánh giá (tần suất, phương pháp, trách nhiệm, báo cáo), xác định tiêu chí và phạm vi từng cuộc, chọn người đánh giá khách quan, báo cáo kết quả cho cấp quản lý liên quan và lưu hồ sơ.
Quy ước dùng checklist
- Y – yêu cầu bắt buộc của điều 4–10 (“phải”).
- Y* – control Phụ lục A, bắt buộc khi đã đưa vào SoA.
- N – thực hành tốt, không bắt buộc.
- Mỗi câu hỏi phải có bằng chứng khách quan: tài liệu, hồ sơ có ngày, phỏng vấn, quan sát hệ thống chạy thật.
Phần 1 – Điều 4 đến 10
| Điều | Câu hỏi đánh giá | Bằng chứng cần xem | Lỗi hay gặp |
|---|---|---|---|
| 4.1 | Đã xác định vấn đề nội bộ/bên ngoài liên quan AI chưa? Vai trò của tổ chức với từng hệ thống AI là gì? | Phân tích bối cảnh, AI inventory có cột vai trò | Bối cảnh chung chung, không nhắc luật AI; inventory thiếu AI nhúng trong SaaS |
| 4.2 | Bên quan tâm nào, yêu cầu gì? Người bị AI ra quyết định có được xét không? | Ma trận bên quan tâm, danh mục yêu cầu pháp lý | Bỏ sót ứng viên tuyển dụng, khách vay vốn, công nhân |
| 4.3 | Phạm vi có văn bản, nêu hệ thống AI, địa điểm, vai trò? | Tuyên bố phạm vi đã duyệt | Phạm vi “toàn công ty” không liệt kê hệ thống |
| 5.1 | Lãnh đạo thể hiện cam kết thế nào? | Phỏng vấn lãnh đạo, quyết định nguồn lực | Lãnh đạo không biết rủi ro AI chính |
| 5.2 | Chính sách AI có văn bản, được duyệt, truyền đạt? | Chính sách, hồ sơ phổ biến, phỏng vấn nhân viên | Nhân viên không biết chính sách |
| 5.3 | Ai bảo đảm AIMS phù hợp và báo cáo lãnh đạo? | Quyết định bổ nhiệm, báo cáo định kỳ | Không có cơ chế báo cáo |
| 6.1.1 | Tiêu chí rủi ro AI đã lập, dùng cho cả đánh giá, xử lý và tác động? | Tiêu chí rủi ro đã duyệt | Không có ngưỡng chấp nhận |
| 6.1.2 | Quá trình đánh giá rủi ro cho kết quả nhất quán? Có xét hệ quả với cá nhân, xã hội? | Quy trình, sổ rủi ro theo hệ thống | Rủi ro chỉ chấm theo bảo mật |
| 6.1.3 | Đã đối chiếu đủ Phụ lục A, có SoA với lý do, kế hoạch xử lý được cấp quản lý chỉ định duyệt? | SoA, kế hoạch xử lý, chữ ký chấp nhận rủi ro còn lại | Loại trừ không lý do |
| 6.1.4 | Có quá trình đánh giá tác động, xét cả lạm dụng có thể dự đoán? Kết quả vào đánh giá rủi ro? | Quy trình, hồ sơ tác động | Gộp với đánh giá rủi ro |
| 6.2 | Mục tiêu AI đo được, có kế hoạch, người, hạn, cách đánh giá? | Bảng mục tiêu, kết quả theo dõi | “Nâng cao chất lượng AI” |
| 6.3 | Thay đổi AIMS có kế hoạch? | Phiếu thay đổi | Thêm hệ thống AI không cập nhật phạm vi |
| 7.1–7.3 | Nguồn lực đủ? Năng lực người làm AI được xác định, có bằng chứng? Nhân viên nhận thức chính sách? | Ma trận năng lực, hồ sơ đào tạo | Không có tiêu chí năng lực cho người giám sát AI |
| 7.4–7.5 | Trao đổi thông tin có kế hoạch? Tài liệu được kiểm soát? | Kế hoạch truyền thông, danh mục tài liệu | Quy trình cũ còn lưu hành |
| 8.1 | Quá trình vận hành theo tiêu chí? Thay đổi và quá trình thuê ngoài được kiểm soát? | Hồ sơ vòng đời, kiểm soát nhà cung cấp | Cập nhật mô hình không qua phê duyệt |
| 8.2–8.4 | Đánh giá rủi ro, xử lý, tác động có được thực hiện định kỳ và khi thay đổi đáng kể? Hiệu lực xử lý được kiểm tra? | Hồ sơ có ngày, so với lịch | Chỉ làm một lần lúc triển khai |
| 9.1 | Đo gì, bằng cách nào, khi nào phân tích? | Báo cáo giám sát hiệu năng AI | Chỉ đo thời gian chạy máy chủ |
| 9.2 | Chương trình đánh giá phủ đủ điều khoản và SoA? Chuyên gia đánh giá khách quan? | Chương trình, báo cáo | Người viết quy trình tự đánh giá |
| 9.3 | Xem xét của lãnh đạo đủ đầu vào, có quyết định? | Biên bản | Thiếu dữ liệu sự cố AI, phản hồi bên quan tâm |
| 10.1–10.2 | Không phù hợp được xử lý tận gốc, kiểm tra hiệu lực? | Sổ NC/CAPA | Chỉ sửa chữa, không tìm nguyên nhân |
Phần 2 – Phụ lục A theo 9 nhóm
| Nhóm | Câu hỏi đánh giá trọng tâm | Bằng chứng | Lỗi hay gặp |
|---|---|---|---|
| A.2 | Chính sách có nguyên tắc, xử lý ngoại lệ? Đã liên kết chính sách khác? Ai rà soát, lần cuối khi nào? | Chính sách, ma trận liên kết, biên bản rà soát | Không rà soát; mâu thuẫn chính sách bảo mật |
| A.3 | Ai giám sát con người cho hệ thống X? Kênh báo lo ngại hoạt động thế nào, đã nhận vụ nào? | RACI, sổ kênh lo ngại | Kênh không ẩn danh, không ai biết |
| A.4 | Cho xem hồ sơ nguồn lực hệ thống X: dữ liệu, công cụ, hạ tầng, con người? | Hồ sơ hệ thống, kiến trúc | Thiếu phiên bản mô hình, thiếu con người |
| A.5 | Khi nào phải đánh giá tác động? Cho xem hồ sơ gần nhất, nhóm nào bị ảnh hưởng? | Hồ sơ tác động | Không xét nhóm dễ tổn thương |
| A.6 | Đặc tả và tiêu chí chấp nhận ở đâu? Kiểm thử trên dữ liệu nào? Ai duyệt phát hành? Giám sát trôi dạt thế nào? Log lưu bao lâu? | Đặc tả, báo cáo V&V, phiếu go-live, dashboard, log | Tiêu chí đặt sau khi có kết quả |
| A.7 | Bộ dữ liệu nào huấn luyện mô hình đang chạy? Quyền dùng? Tiêu chí chất lượng, thiên lệch? | Sổ bộ dữ liệu, báo cáo chất lượng | Không truy được dữ liệu ↔ mô hình |
| A.8 | Người dùng biết đang dùng AI? Có cách ghi đè, báo sai? Kế hoạch thông báo sự cố? Nghĩa vụ báo cáo với cơ quan nào? | Giao diện, kế hoạch sự cố, danh mục nghĩa vụ | Không có kênh bên ngoài |
| A.9 | Công cụ AI nào được duyệt? Người xem lại có thực sự ghi đè? Hệ thống có đang dùng ngoài mục đích? | Danh sách duyệt, hồ sơ ghi đè, log | Nhân viên dùng công cụ ngoài danh sách |
| A.10 | Ai chịu trách nhiệm gì giữa các bên? Nhà cung cấp AI được đánh giá theo rủi ro? Khách hàng được báo giới hạn sử dụng? | RACI đa bên, phiếu đánh giá, tài liệu bàn giao | Hợp đồng cho phép nhà cung cấp dùng dữ liệu huấn luyện mà không ai biết |
Câu hỏi chi tiết cho từng control xem hướng dẫn từng control.
Phần 3 – Chấm mức sẵn sàng chứng nhận
Với mỗi điều khoản và control, ghi: Mức tuân thủ (Đầy đủ / Một phần / Chưa / Không áp dụng / Chưa đánh giá) – Khoảng cách – Hành động – Người phụ trách – Hạn – Trạng thái (Chưa bắt đầu / Đang làm / Xong / Đã xác minh) – Tham chiếu bằng chứng. Bộ checklist đầy đủ thường có khoảng 70 dòng: 32 dòng điều khoản 4–10 và 38 dòng control.
Tỷ lệ sẵn sàng = số dòng “Đầy đủ” ÷ (tổng dòng − “Không áp dụng”). Nhiều tổ chức đặt ngưỡng nội bộ trước giai đoạn 1 khoảng 85–90%, và không còn dòng “Chưa” ở các yêu cầu bắt buộc (con số tham khảo, không phải yêu cầu tiêu chuẩn).
Phân loại phát hiện
| Loại | Dấu hiệu | Ví dụ AIMS |
|---|---|---|
| Không phù hợp lớn | Thiếu hẳn một yêu cầu, hoặc lỗi hệ thống | Không có SoA; không có tiêu chí rủi ro AI; không đánh giá tác động |
| Không phù hợp nhỏ | Có làm nhưng sót, không nhất quán | Một hệ thống thiếu hồ sơ V&V; chính sách quá hạn rà soát |
| Cơ hội cải tiến | Đạt, nhưng có thể tốt hơn | Dashboard chưa có cảnh báo tự động |
Ví dụ: đánh giá nội bộ ở công ty dệt nhuộm Long An (minh hoạ)
Đoàn 2 người (1 chuyên gia đánh giá ISO 9001 được đào tạo thêm 42001, 1 kỹ sư dữ liệu của chi nhánh khác để bảo đảm khách quan), 2 ngày, phạm vi 3 hệ thống AI. Kết quả: 0 lỗi lớn, 5 lỗi nhỏ, 7 cơ hội cải tiến. Phát hiện tiêu biểu:
- A.6.2.4: mô hình phối màu v2.3 phát hành khi tiêu chí ΔE chỉ đạt 1,4 so với yêu cầu ≤ 1,2 mà không có quyết định chấp nhận sai lệch.
- A.7.5: không truy được bộ dữ liệu huấn luyện v2.3 do ghi đè thư mục.
- A.3.3: kênh lo ngại chưa được phổ biến cho công nhân thời vụ.
- 9.1: báo cáo giám sát chatbot chỉ có số phiên, không có tỷ lệ trả lời sai.
Tỷ lệ sẵn sàng tăng từ 78% lên 91% sau 6 tuần khắc phục (số liệu minh hoạ).
Mẹo làm checklist trên Excel
Sheet 1: danh mục yêu cầu (điều khoản, câu hỏi, bằng chứng mẫu, lỗi hay gặp, control liên quan). Sheet 2: danh mục tài liệu bắt buộc. Sheet 3: danh mục hồ sơ bắt buộc. Sheet 4: bảng đối chiếu Phụ lục A – SoA. Sheet 5: chấm sẵn sàng với công thức COUNTIF đếm theo mức tuân thủ. Dùng danh sách thả xuống để mọi người chấm cùng thang.
Lỗi hay gặp khi đánh giá nội bộ AIMS
- Chỉ đọc tài liệu, không xem hệ thống AI chạy thật và log.
- Không lấy mẫu theo hệ thống AI — đánh giá “chung chung”.
- Chuyên gia đánh giá không hiểu khái niệm cơ bản (tập kiểm thử, trôi dạt, F1).
- Không đánh giá control trong SoA đánh dấu “một phần”.
Câu hỏi thường gặp
Bao lâu đánh giá nội bộ một lần? Tiêu chuẩn yêu cầu theo kỳ đã hoạch định; thường ít nhất mỗi năm phủ toàn bộ, hệ thống rủi ro cao có thể dày hơn.
Có thể thuê ngoài đánh giá nội bộ? Được, miễn người đánh giá có năng lực và khách quan.
Cần đánh giá hết 38 control mỗi năm? Cần phủ toàn bộ control áp dụng trong chương trình, có thể chia nhiều đợt trong năm.
