Industrial KnowledgeHướng dẫn từng control ISO 42001 là gì? Bảng 38 control: cách làm và bằng chứng | Ví dụ
Nội dung bài viết 15 mục
- Cách đọc bảng
- A.2 – Chính sách liên quan đến AI
- A.3 – Tổ chức nội bộ
- A.4 – Nguồn lực cho hệ thống AI
- A.5 – Đánh giá tác động của hệ thống AI
- A.6 – Vòng đời hệ thống AI
- A.7 – Dữ liệu cho hệ thống AI
- A.8 – Thông tin cho bên quan tâm
- A.9 – Sử dụng hệ thống AI
- A.10 – Quan hệ bên thứ ba và khách hàng
- Ví dụ: một nhà máy bao bì ở Bình Dương lập “sổ bằng chứng” (minh hoạ)
- Mẹo áp dụng
- Lỗi hay gặp
- Câu hỏi thường gặp
- Bước tiếp theo
Biết Phụ lục A có 38 control là một chuyện; biết mỗi control phải làm gì trong nhà máy của mình và đưa ra bằng chứng gì là chuyện khác. Phụ lục B của ISO/IEC 42001:2023 là phụ lục quy định, cho hướng dẫn triển khai từng control. Bài này đi qua cả 38 control, diễn giải lại bằng lời của chúng tôi theo tinh thần Phụ lục B, kèm cách làm thực tế và bằng chứng mà chuyên gia đánh giá thường hỏi. Đây là bản tóm tắt để làm việc, không thay thế văn bản tiêu chuẩn gốc.
Tóm tắt nhanh
- Bài diễn giải 38 control Phụ lục A theo tinh thần Phụ lục B: cách làm thực tế và bằng chứng cần có.
- Control nào áp dụng là do đánh giá rủi ro và SoA quyết định; hướng dẫn Phụ lục B được phép điều chỉnh, mở rộng.
- Trải đủ 9 nhóm A.2–A.10: chính sách, tổ chức, nguồn lực, tác động, vòng đời, dữ liệu, thông tin, sử dụng, bên thứ ba.
- Lỗi lớn: chép nguyên Phụ lục B nhưng không làm, bằng chứng chỉ có tài liệu, bên chỉ sử dụng AI loại trừ cả nhóm A.6, A.7.
Cách đọc bảng
- Mã: theo Phụ lục A. Mỗi nhóm bắt đầu từ .2 vì mục .1 là mục tiêu của nhóm.
- Tên tóm tắt: tên ngắn do chúng tôi đặt, không phải tên chính thức.
- Cách làm thực tế: việc cụ thể ở doanh nghiệp vừa và nhỏ; mức chi tiết tăng theo rủi ro của hệ thống AI.
- Bằng chứng: tài liệu, hồ sơ hay phỏng vấn mà chuyên gia đánh giá thường tìm.
Nhắc lại hai nguyên tắc: control nào áp dụng là do đánh giá rủi ro và SoA quyết định; và hướng dẫn Phụ lục B được phép điều chỉnh, mở rộng — tổ chức không phải giải trình từng gợi ý trong SoA.
A.2 – Chính sách liên quan đến AI
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.2.2 | Chính sách AI | Viết chính sách cho việc phát triển hoặc sử dụng AI, dựa trên chiến lược, giá trị và mức rủi ro chấp nhận, rủi ro của các hệ thống AI, luật và hợp đồng, tác động tới bên quan tâm. Nêu nguyên tắc chung và cách xử lý ngoại lệ. Có thể tách chính sách chủ đề (tài sản AI, đánh giá tác động, phát triển) hoặc dẫn chiếu | Chính sách đã ký, phiên bản; hồ sơ truyền đạt; sổ ngoại lệ |
| A.2.3 | Liên kết chính sách khác | Rà từng chính sách (chất lượng, ATTT, an toàn, riêng tư, nhân sự, mua hàng) xem chỗ nào giao với AI; sửa chính sách đó hoặc đưa điều khoản vào chính sách AI. Tham khảo định hướng của hội đồng quản trị | Ma trận chính sách ↔ chủ đề AI; bản sửa đổi chính sách liên quan |
| A.2.4 | Rà soát chính sách | Giao một vai trò được duyệt chịu trách nhiệm; rà soát theo kỳ và khi môi trường kinh doanh, pháp lý, công nghệ đổi; dùng kết quả xem xét của lãnh đạo | Biên bản rà soát, lịch sử phiên bản, đầu vào từ xem xét của lãnh đạo |
A.3 – Tổ chức nội bộ
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.3.2 | Vai trò và trách nhiệm | Dựa trên chính sách, mục tiêu và rủi ro để giao người phụ trách: rủi ro, đánh giá tác động, tài sản, an ninh, an toàn, riêng tư, phát triển, hiệu năng, giám sát của con người, nhà cung cấp, tuân thủ pháp lý, chất lượng dữ liệu. Mô tả trách nhiệm đủ chi tiết để người được giao làm được | RACI theo hệ thống AI, quyết định bổ nhiệm, mô tả công việc; phỏng vấn người được giao |
| A.3.3 | Báo cáo lo ngại | Kênh có lựa chọn ẩn danh/bảo mật; phổ biến cho nhân viên và nhà thầu; người xử lý có năng lực và quyền điều tra; leo thang kịp thời; chống trù dập; báo cáo tổng hợp mà vẫn giữ bí mật; thời hạn phản hồi. Có thể tận dụng kênh tố giác sẵn có | Quy trình, poster/email truyền thông, sổ tiếp nhận – xử lý, thống kê thời gian phản hồi |
A.4 – Nguồn lực cho hệ thống AI
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.4.2 | Hồ sơ nguồn lực | Với mỗi hệ thống AI, liệt kê nguồn lực cho từng giai đoạn vòng đời: thành phần, dữ liệu, công cụ, hạ tầng, con người — ai cung cấp (mình, khách, bên thứ ba). Dùng sơ đồ luồng dữ liệu, sơ đồ kiến trúc. Thiếu nguồn lực thì sửa đặc tả hoặc yêu cầu triển khai | AI inventory + hồ sơ nguồn lực, sơ đồ kiến trúc |
| A.4.3 | Nguồn lực dữ liệu | Ghi nguồn gốc, ngày cập nhật, loại (huấn luyện/kiểm định/kiểm thử/vận hành), cách gán nhãn, mục đích, chất lượng, lưu giữ và hủy, thiên lệch đã biết, cách chuẩn bị | Sổ đăng ký bộ dữ liệu |
| A.4.4 | Nguồn lực công cụ | Ghi loại thuật toán và mô hình, công cụ xử lý dữ liệu, phương pháp tối ưu, phương pháp đánh giá, công cụ cấp phát tài nguyên, công cụ hỗ trợ phát triển, phần mềm/phần cứng | Danh mục công cụ và phiên bản, model registry |
| A.4.5 | Hạ tầng tính toán | Ghi yêu cầu tài nguyên, vị trí chạy (tại chỗ, cloud, máy biên), xử lý, mạng, lưu trữ, tác động môi trường và chi phí phần cứng; nhu cầu khác nhau giữa phát triển, triển khai, vận hành | Sơ đồ hạ tầng, hợp đồng cloud, ước tính năng lượng/chi phí |
| A.4.6 | Nguồn nhân lực | Liệt kê vai trò và năng lực cho phát triển, triển khai, vận hành, quản lý thay đổi, bảo trì, chuyển giao, ngừng sử dụng, kiểm tra, tích hợp; xét đa dạng chuyên môn: nhà khoa học dữ liệu, người giám sát, chuyên gia an toàn/bảo mật/riêng tư, chuyên gia nghiệp vụ | Ma trận năng lực, hồ sơ đào tạo (liên kết điều 7.2) |
A.5 – Đánh giá tác động của hệ thống AI
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.5.2 | Quá trình đánh giá tác động | Quy định khi nào làm (mục đích quan trọng, độ phức tạp, mức tự động hoá, dữ liệu nhạy cảm và các thay đổi của chúng), các bước nhận diện – phân tích – đánh giá – xử lý – báo cáo, ai làm, kết quả dùng vào thiết kế và phê duyệt thế nào, ai bị ảnh hưởng. Xét vị thế pháp lý, cơ hội sống, sức khoẻ thể chất – tinh thần, quyền con người, xã hội | Quy trình, danh sách kích hoạt; liên kết với 6.1.4 |
| A.5.3 | Hồ sơ đánh giá tác động | Ghi mục đích và lạm dụng có thể dự đoán, tác động tích cực/tiêu cực, lỗi dự đoán được và biện pháp, nhóm nhân khẩu học, độ phức tạp, vai trò giám sát của con người, ảnh hưởng việc làm – kỹ năng; đặt thời hạn lưu; dùng để quyết định thông tin cần công bố | Hồ sơ từng hệ thống, thời hạn lưu |
| A.5.4 | Tác động tới cá nhân, nhóm | Xét kỳ vọng tin cậy của người dùng và người có dữ liệu bị xử lý; nhu cầu riêng của trẻ em, người cao tuổi, người khuyết tật, người lao động; các mảng: công bằng, giải trình, minh bạch – giải thích, bảo mật – riêng tư, an toàn – sức khoẻ, tài chính, tiếp cận, quyền con người; tham vấn chuyên gia, người dùng khi cần | Bảng tác động theo nhóm, biên bản tham vấn |
| A.5.5 | Tác động xã hội | Xét môi trường (năng lượng, nước, phát thải), kinh tế (tiếp cận tài chính, việc làm), chính quyền và thông tin sai lệch, y tế – an toàn, văn hoá – giá trị; xét khả năng bị lạm dụng và củng cố thiên kiến lịch sử; đặt trong mục tiêu bền vững của công ty | Mục tác động xã hội trong hồ sơ |
A.6 – Vòng đời hệ thống AI
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.6.1.2 | Mục tiêu phát triển có trách nhiệm | Lấy mục tiêu AI (6.2) ảnh hưởng tới thiết kế, đưa xuống từng bước: nếu chọn “công bằng” thì có yêu cầu ở đặc tả, thu thập dữ liệu, huấn luyện, V&V; quy định công cụ/phương pháp kiểm thử bắt buộc. Phụ lục C có danh sách mục tiêu gợi ý | Hồ sơ dự án có mục tiêu và yêu cầu kiểm thử tương ứng |
| A.6.1.3 | Quá trình phát triển có trách nhiệm | Quy trình nêu: giai đoạn vòng đời (có thể theo ISO/IEC 22989), yêu cầu kiểm thử, yêu cầu giám sát của con người, thời điểm đánh giá tác động, quy tắc dữ liệu huấn luyện và nhà cung cấp dữ liệu được duyệt, năng lực người phát triển, tiêu chí phát hành, cổng phê duyệt, kiểm soát thay đổi, dễ dùng – kiểm soát được, sự tham gia của bên quan tâm | Quy trình vòng đời, hồ sơ qua cổng |
| A.6.2.2 | Yêu cầu và đặc tả | Ghi lý do làm (bài toán kinh doanh, yêu cầu khách, chính sách), mục tiêu, cách huấn luyện và dữ liệu cần; yêu cầu phủ toàn vòng đời; xem lại khi hệ thống không chạy như ý, có thông tin mới, hoặc không còn khả thi | Đặc tả có phiên bản, lịch sử thay đổi |
| A.6.2.3 | Tài liệu thiết kế, phát triển | Ghi lựa chọn: cách học, thuật toán và loại mô hình, cách huấn luyện và chất lượng dữ liệu, đánh giá – tinh chỉnh, phần cứng – phần mềm, mối đe doạ an ninh đặc thù AI, giao diện đầu ra, tương tác người – máy, khả năng tương thích và di chuyển; giữ tài liệu qua các vòng lặp và có kiến trúc cuối | Tài liệu kiến trúc, nhật ký quyết định thiết kế |
| A.6.2.4 | Kiểm tra xác nhận và xác nhận giá trị sử dụng | Định nghĩa phương pháp, công cụ, dữ liệu kiểm thử đại diện miền sử dụng, tiêu chí phát hành; kế hoạch đánh giá rủi ro tác động; tỷ lệ lỗi chấp nhận được; dải điều kiện vận hành; đo người ra quyết định có hiểu đúng đầu ra không; yếu tố cho phép (ảnh mờ, tiếng ồn) và cách xử lý; không đạt thì xem lại mục đích, yêu cầu | Kế hoạch V&V, báo cáo so với tiêu chí, quyết định khi không đạt |
| A.6.2.5 | Triển khai | Kế hoạch tính khác biệt môi trường, triển khai riêng phần mềm và mô hình, bộ “tiêu chí phát hành” (V&V, chỉ số hiệu năng, kiểm thử người dùng, phê duyệt), góc nhìn bên quan tâm | Kế hoạch triển khai, phiếu go-live có chữ ký |
| A.6.2.6 | Vận hành và giám sát | Tối thiểu: giám sát hệ thống và hiệu năng, sửa chữa, cập nhật, hỗ trợ. Theo dõi trôi dạt, học liên tục, quy trình cập nhật có thông tin cho người dùng, hỗ trợ có SLA, xét việc dùng ngoài thiết kế, đe doạ an ninh đặc thù AI; chọn chỉ số theo bài toán, ngưỡng dựa trên ý kiến chuyên gia và so với cách làm không dùng AI | Dashboard, sổ sự cố, lịch sử cập nhật, SLA |
| A.6.2.7 | Tài liệu kỹ thuật | Xác định ai cần tài liệu gì (người dùng, đối tác, cơ quan quản lý): mô tả và mục đích, hướng dẫn, giả định, giới hạn, khả năng giám sát; tài liệu vòng đời; kế hoạch xử lý hỏng hóc (quay lui, tắt tính năng), theo dõi “sức khoẻ” hệ thống, SOP, vai trò vận hành; cập nhật, chính xác, được duyệt | Model card, SOP, kế hoạch rollback, danh sách phân phối |
| A.6.2.8 | Nhật ký sự kiện | Bật log ít nhất khi hệ thống đang dùng: thời điểm, dữ liệu vận hành, đầu ra ngoài dải dự kiến, để truy vết và phát hiện vận hành ngoài điều kiện; lưu theo nhu cầu, chính sách lưu trữ và luật | Cấu hình log, mẫu log, thời hạn lưu |
A.7 – Dữ liệu cho hệ thống AI
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.7.2 | Quản lý dữ liệu khi phát triển | Quy trình xét riêng tư – bảo mật, đe doạ an ninh/an toàn từ dữ liệu, minh bạch về nguồn gốc và cách dữ liệu ảnh hưởng đầu ra, tính đại diện so với thực tế, độ chính xác – toàn vẹn | Quy trình dữ liệu AI |
| A.7.3 | Thu thập dữ liệu | Ghi loại và lượng dữ liệu, nguồn (nội bộ, mua, chia sẻ, mở, tổng hợp), đặc tính nguồn, đặc điểm chủ thể và thiên lệch, lịch sử xử lý, quyền (dữ liệu cá nhân, bản quyền), metadata, nguồn gốc | Hồ sơ thu thập, giấy phép, căn cứ pháp lý |
| A.7.4 | Chất lượng dữ liệu | Đặt yêu cầu chất lượng cho dữ liệu huấn luyện, kiểm định, kiểm thử và vận hành; đo, cải thiện; xét ảnh hưởng thiên lệch tới hiệu năng và công bằng, điều chỉnh dữ liệu/mô hình | Tiêu chí, báo cáo kiểm tra chất lượng |
| A.7.5 | Nguồn gốc dữ liệu | Ghi các sự kiện tạo, cập nhật, biến đổi, xác nhận, chuyển quyền kiểm soát, chia sẻ; cân nhắc kiểm chứng nguồn gốc với dữ liệu ngoài | Sổ dữ liệu có phiên bản, liên kết dữ liệu ↔ mô hình |
| A.7.6 | Chuẩn bị dữ liệu | Ghi tiêu chí chọn và phương pháp: khám phá thống kê, làm sạch, điền thiếu, chuẩn hoá, co giãn, gán nhãn, mã hoá | Hướng dẫn tiền xử lý, script có phiên bản, hướng dẫn gán nhãn |
A.8 – Thông tin cho bên quan tâm
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.8.2 | Thông tin cho người dùng | Báo đang tương tác với AI hoặc nội dung do AI tạo; mục đích, cách dùng, khi nào và cách ghi đè, yêu cầu kỹ thuật, giới hạn, tuổi thọ dự kiến, nhu cầu giám sát, độ chính xác, thông tin từ đánh giá tác động, thay đổi, liên hệ, tài liệu học; ghi tiêu chí chọn thông tin; kiểm tra người dùng tiếp cận được và thông tin còn đúng | Giao diện, hướng dẫn sử dụng, tiêu chí công bố |
| A.8.3 | Kênh báo cáo bên ngoài | Cho người dùng và bên ngoài báo tác động bất lợi (vd. bị đối xử không công bằng), bên cạnh việc tự giám sát | Biểu mẫu/nút phản ánh, sổ xử lý |
| A.8.4 | Truyền thông sự cố | Kế hoạch báo sự cố cho người dùng: loại sự cố phải báo, thời hạn, cơ quan nào, nội dung; gộp vào quản lý sự cố chung nhưng giữ yêu cầu riêng của AI | Kế hoạch, hồ sơ sự cố đã thông báo |
| A.8.5 | Nghĩa vụ báo cáo | Lập danh mục nghĩa vụ chia sẻ thông tin với khách hàng, cơ quan quản lý: tài liệu kỹ thuật, dữ liệu huấn luyện/kiểm thử, rủi ro, kết quả đánh giá tác động, log; trong thời hạn phù hợp | Danh mục nghĩa vụ, hồ sơ đã cung cấp |
A.9 – Sử dụng hệ thống AI
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.9.2 | Quá trình sử dụng có trách nhiệm | Quy định điều kiện quyết định dùng một hệ thống AI (tự làm hay mua): phê duyệt, chi phí cả giám sát – bảo trì, nguồn cung được duyệt, yêu cầu pháp lý | Quy trình duyệt công cụ AI, danh sách được duyệt |
| A.9.3 | Mục tiêu sử dụng có trách nhiệm | Chọn mục tiêu (công bằng, giải trình, minh bạch, giải thích, tin cậy, an toàn, vững – dự phòng, riêng tư – bảo mật, tiếp cận) và cơ chế đạt; quyết định giai đoạn nào cần giám sát của con người có thực chất: người xem lại có quyền ghi đè, theo dõi độ chính xác, báo lo ngại, cân nhắc quyết định tự động; đào tạo người giám sát | Mục tiêu, hồ sơ ghi đè, hồ sơ đào tạo người giám sát |
| A.9.4 | Đúng mục đích dự kiến | Triển khai theo hướng dẫn đi kèm; bố trí nguồn lực và giám sát của con người như yêu cầu; dữ liệu đầu vào khớp tài liệu; giám sát vận hành; báo lo ngại cho nội bộ và nhà cung cấp; giữ log chứng minh dùng đúng mục đích | Log, hồ sơ kiểm tra dữ liệu đầu vào, thư trao đổi với nhà cung cấp |
A.10 – Quan hệ bên thứ ba và khách hàng
| Mã | Tên tóm tắt | Cách làm thực tế | Bằng chứng |
|---|---|---|---|
| A.10.2 | Phân bổ trách nhiệm | Ghi mọi bên trong vòng đời (dữ liệu, mô hình, phát triển, sử dụng) và trách nhiệm; xác định vai trò bên kiểm soát/bên xử lý dữ liệu cá nhân; khi cung cấp AI cho bên khác thì giao đủ tài liệu | RACI đa bên, điều khoản hợp đồng |
| A.10.3 | Nhà cung cấp | Phân loại theo thứ được cung cấp và mức rủi ro; đặt tiêu chí chọn, yêu cầu, mức theo dõi; ghi cách tích hợp; yêu cầu tài liệu; yêu cầu khắc phục khi không đạt | Phiếu đánh giá, hợp đồng, hồ sơ yêu cầu khắc phục |
| A.10.4 | Khách hàng | Hiểu kỳ vọng khách (đặc tả, hợp đồng, điều khoản sử dụng); phân rõ trách nhiệm nhà cung cấp – khách; cung cấp thông tin để khách tự xử lý rủi ro, nhất là giới hạn miền sử dụng | Yêu cầu khách hàng, tài liệu bàn giao |
Ví dụ: một nhà máy bao bì ở Bình Dương lập “sổ bằng chứng” (minh hoạ)
Công ty có 2 hệ thống AI (camera kiểm tra in ấn, chatbot báo giá). Thay vì viết 38 quy trình, họ lập một file Excel “sổ bằng chứng” 38 dòng theo đúng bảng trên, thêm cột hệ thống áp dụng và đường dẫn hồ sơ. Kết quả sau 3 tháng (số liệu minh hoạ): 31 control có bằng chứng đầy đủ, 5 control một phần (chủ yếu A.6.2.8 – log chatbot mới lưu 30 ngày, và A.8.4 – chưa có kế hoạch thông báo sự cố cho khách), 2 control giới hạn có lý do trong SoA. Đánh giá nội bộ chỉ cần đi theo cột đường dẫn để kiểm tra.
Mẹo áp dụng
- Viết một quy trình vòng đời bao trùm A.6.1.3 – A.6.2.8 thay vì 8 quy trình rời.
- Gộp A.4.2 – A.4.6 vào một biểu mẫu hồ sơ hệ thống AI; đính kèm vào AI inventory.
- Dùng lại kênh tố giác, quy trình sự cố, đánh giá nhà cung cấp sẵn có — chỉ thêm phần AI.
- Mỗi control nên có ít nhất một hồ sơ thực hiện có ngày tháng, không chỉ tài liệu quy định.
Lỗi hay gặp
- Chép nguyên hướng dẫn Phụ lục B vào quy trình nhưng không làm theo.
- Bằng chứng chỉ là tài liệu, thiếu hồ sơ thực hiện.
- Bên chỉ sử dụng AI đánh “không áp dụng” cả nhóm A.6, A.7.
- Không phân biệt control áp dụng cho hệ thống nào.
Câu hỏi thường gặp
Có phải làm mọi gạch đầu dòng trong Phụ lục B? Không. Phụ lục B là điểm xuất phát; làm theo mức rủi ro, nhưng nên giải thích được với chuyên gia đánh giá vì sao cách làm của mình đạt mục tiêu control.
Một control có thể đáp ứng bằng tài liệu của ISO 27001 không? Có thể dùng chung một phần (log, sự cố, nhà cung cấp), nhưng phải bổ sung nội dung đặc thù AI.
Doanh nghiệp nhỏ có cần 38 bằng chứng riêng? Không cần 38 tài liệu; nhiều control dùng chung một biểu mẫu, miễn là truy được.
