Industrial KnowledgeYêu cầu ISO 42001 theo điều khoản 4–10 là gì? Bảng yêu cầu và bằng chứng | Ví dụ
Nội dung bài viết 12 mục
Phần thân ISO/IEC 42001 gồm các điều 4 đến 10 — mọi yêu cầu ở đây là bắt buộc (“shall”), không được loại trừ. Khác với Phụ lục A (được chọn qua Tuyên bố áp dụng), nếu thiếu bất kỳ điều nào từ 4 đến 10, tổ chức không thể được chứng nhận. Bài này tóm tắt bằng lời dễ hiểu từng điều khoản, kèm bằng chứng mà chuyên gia đánh giá sẽ tìm.
Tóm tắt nhanh
- Điều 4–10 của ISO/IEC 42001 đều bắt buộc (“shall”), không được loại trừ như control Phụ lục A.
- Điều 6 yêu cầu tiêu chí rủi ro, đánh giá và xử lý rủi ro AI, SoA và đánh giá tác động hệ thống AI.
- Bài tổng hợp từng yêu cầu kèm bằng chứng cần có, từ phạm vi AIMS đến hồ sơ vận hành 8.2–8.4.
- Lỗi lớn: gộp đánh giá rủi ro với đánh giá tác động, SoA không đối chiếu đủ 38 biện pháp, có quy trình mà thiếu hồ sơ.
Điều 4 – Bối cảnh của tổ chức
4.1 Hiểu tổ chức và bối cảnh. Xác định các vấn đề bên trong và bên ngoài ảnh hưởng tới việc đạt kết quả mong muốn của AIMS: quy định pháp luật về AI và dữ liệu cá nhân, kỳ vọng xã hội, năng lực công nghệ, văn hoá doanh nghiệp. Điểm riêng của 42001: tổ chức phải xác định vai trò của mình với từng hệ thống AI (phát triển, cung cấp, sử dụng, bên tích hợp…) và cân nhắc mục đích sử dụng của các hệ thống AI. Tiêu chuẩn cũng yêu cầu xem xét liệu biến đổi khí hậu có là vấn đề liên quan hay không (bổ sung sửa đổi 2024 áp dụng chung cho tiêu chuẩn hệ thống quản lý).
4.2 Bên quan tâm. Liệt kê bên liên quan (khách hàng, người dùng cuối, người bị AI ra quyết định, cơ quan quản lý, nhà cung cấp mô hình, nhân viên) và yêu cầu của họ; xác định yêu cầu nào sẽ được xử lý qua AIMS.
4.3 Phạm vi AIMS. Ranh giới và khả năng áp dụng, được lưu thành văn bản. Phạm vi tốt nêu rõ hệ thống AI, địa điểm, đơn vị, vai trò.
4.4 Hệ thống quản lý AI. Thiết lập, thực hiện, duy trì, cải tiến AIMS và các quá trình cần thiết.
Điều 5 – Sự lãnh đạo
5.1 Lãnh đạo và cam kết. Lãnh đạo cao nhất bảo đảm chính sách, mục tiêu AI tương thích định hướng chiến lược; tích hợp yêu cầu AIMS vào quá trình kinh doanh; cấp nguồn lực; truyền đạt tầm quan trọng.
5.2 Chính sách AI. Phù hợp mục đích tổ chức, làm khung đặt mục tiêu AI, có cam kết đáp ứng yêu cầu và cải tiến liên tục. Chính sách phải được lưu thành văn bản, truyền đạt nội bộ và sẵn có cho bên quan tâm khi phù hợp.
5.3 Vai trò, trách nhiệm, quyền hạn. Giao trách nhiệm bảo đảm AIMS phù hợp tiêu chuẩn và báo cáo kết quả lên lãnh đạo.
Điều 6 – Hoạch định
6.1.1 Khái quát. Xác định rủi ro và cơ hội; phân biệt rủi ro với tổ chức và rủi ro với bên khác; lập tiêu chí chấp nhận rủi ro AI.
6.1.2 Đánh giá rủi ro AI. Quá trình được xác định, cho kết quả nhất quán và so sánh được; nhận diện, phân tích (hệ quả với tổ chức, cá nhân, xã hội; khả năng xảy ra) và đánh giá rủi ro. Kết quả đánh giá tác động (6.1.4) là đầu vào. Chi tiết tại đánh giá rủi ro AI.
6.1.3 Xử lý rủi ro AI. Chọn phương án xử lý, xác định biện pháp kiểm soát cần thiết, so sánh với Phụ lục A để không bỏ sót, lập Tuyên bố áp dụng (SoA) và kế hoạch xử lý; người chịu trách nhiệm rủi ro phê duyệt rủi ro còn lại. Xem SoA ISO 42001.
6.1.4 Đánh giá tác động hệ thống AI. Quá trình đánh giá hệ quả tiềm ẩn đối với cá nhân, nhóm người và xã hội do việc triển khai, sử dụng hoặc lạm dụng hệ thống AI có thể dự đoán được. Xem đánh giá tác động.
6.2 Mục tiêu AI. Đo lường được (nếu khả thi), có kế hoạch, người chịu trách nhiệm, thời hạn, cách đánh giá.
6.3 Hoạch định thay đổi. Thay đổi AIMS phải được thực hiện có kế hoạch.
Điều 7 – Hỗ trợ
7.1 Nguồn lực, 7.2 Năng lực (có bằng chứng đào tạo, kinh nghiệm), 7.3 Nhận thức (nhân viên biết chính sách AI, đóng góp của mình, hệ quả nếu không tuân thủ), 7.4 Trao đổi thông tin (nội dung, thời điểm, đối tượng, cách thức), 7.5 Thông tin dạng văn bản (tạo lập, cập nhật, kiểm soát phiên bản, phân phối, lưu giữ).
Điều 8 – Vận hành
8.1 Hoạch định và kiểm soát vận hành. Thực hiện các quá trình, biện pháp kiểm soát đã chọn ở 6.1.3, đặt tiêu chí, kiểm soát thay đổi và quá trình thuê ngoài.
8.2 Đánh giá rủi ro AI theo kỳ đã hoạch định và khi có thay đổi đáng kể được đề xuất hoặc xảy ra. 8.3 Xử lý rủi ro AI: thực hiện kế hoạch xử lý và kiểm tra hiệu lực; rủi ro mới phát sinh phải đi qua quá trình 6.1.3; nếu phương án xử lý không hiệu lực thì xem xét lại, xác nhận lại và cập nhật kế hoạch. 8.4 Đánh giá tác động hệ thống AI theo kỳ đã hoạch định hoặc khi có thay đổi đáng kể được đề xuất. Cả ba đều phải lưu hồ sơ kết quả của mọi lần thực hiện.
Điều 9 – Đánh giá kết quả hoạt động
9.1 Theo dõi, đo lường, phân tích. Xác định cần đo gì, phương pháp, thời điểm, ai phân tích. 9.2 Đánh giá nội bộ theo chương trình có kế hoạch. 9.3 Xem xét của lãnh đạo với đầu vào và đầu ra theo quy định.
Điều 10 – Cải tiến
10.1 Cải tiến liên tục sự phù hợp, đầy đủ, hiệu lực của AIMS. 10.2 Sự không phù hợp và hành động khắc phục: kiểm soát, sửa chữa, tìm nguyên nhân, khắc phục, xem xét hiệu lực, lưu hồ sơ.
Bảng tổng hợp: yêu cầu | bằng chứng cần có
| Điều khoản | Yêu cầu chính (tóm tắt) | Bằng chứng chuyên gia đánh giá thường hỏi |
|---|---|---|
| 4.1 | Bối cảnh, vai trò với từng hệ thống AI | Phân tích bối cảnh AI; danh mục hệ thống AI có cột vai trò |
| 4.2 | Bên quan tâm và yêu cầu | Ma trận bên quan tâm – yêu cầu – cách đáp ứng |
| 4.3 | Phạm vi AIMS (văn bản) | Tuyên bố phạm vi có danh sách hệ thống AI, địa điểm |
| 5.1 | Cam kết lãnh đạo | Biên bản họp ban quản trị AI; phê duyệt ngân sách |
| 5.2 | Chính sách AI (văn bản) | Chính sách đã ký, bằng chứng truyền đạt |
| 5.3 | Vai trò, quyền hạn | Sơ đồ tổ chức AIMS, RACI, quyết định bổ nhiệm |
| 6.1.1–6.1.2 | Tiêu chí và quá trình đánh giá rủi ro | Quy trình rủi ro AI; tiêu chí chấp nhận; sổ đăng ký rủi ro |
| 6.1.3 | Xử lý rủi ro, SoA | Kế hoạch xử lý; SoA có lý do áp dụng/loại trừ; phê duyệt rủi ro còn lại |
| 6.1.4 | Quá trình đánh giá tác động | Quy trình và biểu mẫu đánh giá tác động |
| 6.2 | Mục tiêu AI | Bảng mục tiêu – chỉ số – người phụ trách – kết quả theo dõi |
| 6.3 | Thay đổi có kế hoạch | Phiếu quản lý thay đổi AIMS |
| 7.2 | Năng lực | Ma trận năng lực, hồ sơ đào tạo AI |
| 7.3–7.4 | Nhận thức, truyền thông | Bài kiểm tra nhận thức; kế hoạch truyền thông |
| 7.5 | Kiểm soát tài liệu | Danh mục tài liệu, lịch sử phiên bản |
| 8.1 | Kiểm soát vận hành | Quy trình vòng đời AI; hồ sơ kiểm thử, phê duyệt triển khai |
| 8.2–8.4 | Thực hiện đánh giá định kỳ | Hồ sơ đánh giá rủi ro, xử lý, tác động có ngày tháng |
| 9.1 | Theo dõi đo lường | Dashboard hiệu năng mô hình, báo cáo giám sát |
| 9.2 | Đánh giá nội bộ | Chương trình, kế hoạch, báo cáo đánh giá |
| 9.3 | Xem xét của lãnh đạo | Biên bản xem xét với đủ đầu vào/đầu ra |
| 10.2 | Không phù hợp, khắc phục | Sổ NC/CAPA, phân tích nguyên nhân, kiểm tra hiệu lực |
Ví dụ: công ty logistics ở Hải Phòng (minh hoạ)
Công ty dùng AI dự báo thời gian giao hàng và chatbot CSKH. Trong đánh giá giai đoạn 1, chuyên gia đánh giá ghi nhận: phạm vi chưa nêu chatbot (chỉ ghi “các ứng dụng AI”), mục tiêu AI chỉ có “nâng cao chất lượng AI” — không đo được. Công ty sửa: liệt kê 2 hệ thống trong phạm vi, đặt mục tiêu “sai số dự báo ETA trung bình ≤ 2 giờ cho 90% đơn” và “tỷ lệ chuyển cho nhân viên khi chatbot không chắc chắn ≥ 95% trường hợp có độ tin cậy dưới ngưỡng”. Giai đoạn 2 không còn phát hiện về điều 4 và 6.2.
Lỗi hay gặp
- Đánh giá rủi ro và đánh giá tác động gộp làm một, không có phần hệ quả tới cá nhân/xã hội.
- SoA không đối chiếu đủ 38 biện pháp, hoặc loại trừ không nêu lý do.
- Có quy trình nhưng không có hồ sơ thực hiện 8.2–8.4.
- Xem xét của lãnh đạo dùng mẫu ISO 9001, thiếu thông tin về rủi ro AI và phản hồi bên quan tâm.
Câu hỏi thường gặp
Có được loại trừ điều khoản nào trong 4–10 không? Không. Chỉ biện pháp kiểm soát Phụ lục A mới được loại trừ (có lý do) qua SoA.
Thông tin dạng văn bản bắt buộc gồm những gì? Tối thiểu: phạm vi, chính sách AI, quá trình và kết quả đánh giá rủi ro, xử lý rủi ro, SoA, đánh giá tác động, mục tiêu AI, bằng chứng năng lực, kết quả theo dõi, chương trình và kết quả đánh giá nội bộ, xem xét của lãnh đạo, NC và hành động khắc phục, cùng những tài liệu tổ chức thấy cần.
Điều 6.1.2 và 8.2 khác nhau ra sao? 6.1.2 là thiết lập quá trình; 8.2 là thực hiện quá trình đó theo chu kỳ và khi có thay đổi.
