Mikä on tekoälytarkastus?
Tekoälyauditointi on systemaattinen, riippumaton ja dokumentoitu tarkastelu siitä, miten organisaatio hallinnoi, kehittää, ottaa käyttöön ja käyttää tekoälyjärjestelmiä. ISO 42001, se on mekanismi, jolla varmistat, että tekoälynhallintajärjestelmäsi (AIMS) on standardin ja omien dokumentoitujen vaatimustesi mukainen ja että se on tehokkaasti toteutettu ja ylläpidetty.
Tekoälyauditoinnit eroavat perinteisistä tietoturvaauditoinneista kolmella tärkeällä tavalla. Ensinnäkin ne kattavat tekoälyyn liittyviä erityisiä artefakteja, joita ei esiinny ISO 27001 -ohjelmassa, kuten tekoälyjärjestelmien vaikutustenarvioinnit, mallikortit, koulutusdatan alkuperätietueet ja elinkaaren validointiraportit. Toiseksi ne arvioivat eettisiä ja yhteiskunnallisia näkökohtia, kuten oikeudenmukaisuutta, läpinäkyvyyttä ja vastuullisuutta, eivätkä pelkästään luottamuksellisuutta, eheyttä ja saatavuutta. Kolmanneksi ne seuraavat yksittäisten tekoälyjärjestelmien elinkaarta tavoitteiden asettamisesta käytöstä poistamiseen sen sijaan, että ne auditoisivat staattisia kontrolleja erikseen.
Tekoälyauditointi voi olla sisäinen (ensimmäisen osapuolen), toimittajakohtainen (toisen osapuolen) tai sertifiointi- tai valvontaauditointi (kolmannen osapuolen, jonka suorittaa akkreditoitu elin). Tämä sivu keskittyy sisäiseen auditointiin, koska useimmat tiimit työskentelevät siellä päivittäin ja siellä jäsennelty tarkistuslista tuo eniten lisäarvoa. Laajemman kontekstin auditointisyklistä löydät oppaastamme. ISO 42001 -auditointi prosessiin.
Miksi käyttää tekoälyn tarkistuslistaa?
Tekoälynhallintajärjestelmän auditointi ilman tarkistuslistaa johtaa siihen, että löydökset jäävät huomaamatta, todisteet unohtuvat ja johdon tarkastelut muuttuvat väittelyiksi auditoinnin laajuudesta. Käytännöllinen tarkistuslista antaa neljä asiaa:
- Yhdenmukainen laajuus. Jokainen auditointi kattaa samat alueet samassa järjestyksessä, joten vuosittaiset vertailut ovat mielekkäitä ja valvontaauditoijat näkevät kypsän ohjelman.
- Puolustavaa näyttöä. Tiedät etukäteen, mitä todisteita pyydät jokaiselta valvonta-alueelta, mikä tarkoittaa, että tarkastettavat voivat valmistautua ja sinä voit käyttää aikaa arviointiin jahtaamisen sijaan.
- Toistettavat testimenetelmät. Läpilasku, todistusaineiston tarkastus ja otantatestaus tuottavat tuloksia, jotka toinen tilintarkastaja voi toistaa. Tätä ulkoinen tilintarkastaja odottaa näkevänsä.
- Selkeät hyväksymis- tai hylkäyskriteerit. Ilman kriteerejä löydöksistä tulee mielipiteitä. Tarkistuslista muuttaa jokaisen kohdan kyllä- tai ei-kysymykseksi, jota tukevat todisteet.
Tämän oppaan tarkistuslista kattaa kohdan 9.2 sisäisen tarkastuksen vaatimukset ja käy läpi yhdeksän vaihetta. Liite A valvonta alueilla (A.2–A.10). Se on suunniteltu tulostettavaksi, läpikäytäväksi ja liitettäväksi tarkastusraporttiin todisteeksi siitä, että tarkastus suunniteltiin ja toteutettiin määritellyn laajuuden mukaisesti.
Miten ISO 42001 määrittelee sisäisen tarkastuksen vaatimukset?
ISO 42001 -standardin kohta 9.2 edellyttää organisaatioilta sisäisten auditointien suorittamista suunnitelluin väliajoin, jotta saadaan tietoa siitä, onko tavoitteiden johtamisjärjestelmä (AIMS) sekä organisaation omien että standardin vaatimusten mukainen ja onko se pantu täytäntöön ja ylläpidetty tehokkaasti. Tällä sanamuodolla on merkitystä. Auditoijat eivät tarkista vain, että politiikat ovat olemassa. He tarkistavat, että johtamisjärjestelmä toimii käytännössä.
Pykälä edellyttää myös, että:
- Suunnittele, laadi, toteuta ja ylläpidä auditointiohjelmaa, mukaan lukien tiheys, menetelmät, vastuut, suunnitteluvaatimukset ja raportointi
- Määrittele kunkin tarkastuksen kriteerit ja laajuus
- Valitse tilintarkastajat ja suorita tilintarkastukset objektiivisuuden ja puolueettomuuden varmistamiseksi
- Raportoi tarkastusten tulokset asiaankuuluvalle johdolle
- Säilytä dokumentoitua tietoa todisteena auditointiohjelmasta ja sen tuloksista
Normatiiviset täytäntöönpano-ohjeet Liitteen B ohjeet tarkentaa tätä edelleen. Kun yhdistät kohdan 9.2 liitteen A valvonta-alueisiin, saat alla olevan tarkistuslistan rakenteen.
Kaikki mitä tarvitset ISO 42001:een
Strukturoitu sisältö, kartoitetut riskit ja sisäänrakennetut työnkulut auttavat sinua hallitsemaan tekoälyä vastuullisesti ja luottavaisesti.
Tekoälyn auditoinnin tarkistuslista: 9 aluetta, jotka on otettava huomioon
ISO 42001 -standardin liite A on jaettu yhdeksään valvonta-alueeseen. Alla olevassa taulukossa on yhteenveto tarkistuslistan kohdista, tyypillisistä todisteista ja kunkin testausmenettelyistä. Käytä sitä sisäisen auditointisi selkärangana. Kunkin rivin läpäisykriteerinä on, että todisteet ovat saatavilla, ajantasaisia, hyväksyttyjä ja yhdenmukaisia aiotun kontrollin kanssa.
| Liitteen A alue | Tarkistuslistan kohdat | Tyypillisiä todisteita | TESTAUSMENETTELY |
|---|---|---|---|
| A.2 Tekoälyyn liittyvät käytännöt | Tekoälypolitiikka on olemassa ja hyväksytty; linjassa organisaation käytäntöjen kanssa; tarkistetaan määräajoin; tiedotetaan henkilöstölle; kattaa vastuullisen tekoälyn tavoitteet | Hyväksytty tekoälykäytäntö, tarkistusloki, viestintätiedot, kuittaus- tai vahvistusrekisteri | Läpikäynti käytäntöjen omistajan kanssa, hyväksymis- ja historian tarkistus, esimerkkitodistukset eri rooleista |
| A.3 Sisäinen organisaatio | Tekoälyn roolit ja vastuut dokumentoidaan ja jaetaan; tekoälyyn liittyvien huolenaiheiden raportointilinjat määritellään; hallintofoorumi kokoontuu ja siitä pidetään pöytäkirjaa | Organisaatiokaavio, tekoälypäätösten RACI, toimeksianto Tekoälyn hallintafoorumi, kokouspöytäkirjat, huolenaiheiden raportointiloki | Haastattele tekoälyn hallintojohtajaa, esimerkkejä kokouspöytäkirjoista viimeisten 12 kuukauden ajalta, jäljitä ilmoitettu huolenaihe alusta loppuun |
| A.4 Tekoälyjärjestelmien resurssit | Tekoälyjärjestelmien resurssit tunnistetaan ja dokumentoidaan (data, työkalut, laskenta, inhimillinen asiantuntemus); riittävyys tarkistetaan ja dokumentaatio pidetään ajan tasalla. | Resurssirekisteri, osaamistietueet, työkalu- ja laskentainventaario, resurssien riittävyystarkastelun tulosteet | Ota yksi tekoälyjärjestelmä, jäljitä sen resurssidokumentaatio, varmista, että avainroolien osaamisrekisterit ovat olemassa, ja vahvista tarkastelun todistusaineisto |
| A.5 Tekoälyjärjestelmien vaikutusten arviointi | Vaikutustenarviointiprosessi määritelty; sovellettu kaikkiin soveltamisalaan kuuluviin tekoälyjärjestelmiin; kattaa yksilöt, ryhmät ja yhteiskunnan; dokumentoitu ja tarkistettu | Tekoälyjärjestelmien vaikutustenarviointirekisteri, suoritetut arvioinnit, tarkastus- ja hyväksyntätiedot, todisteet olennaisiin vaikutuksiin liittyvistä toimista | Ota yhteyttä kahteen tekoälyjärjestelmään, tarkasta niiden tehdyt vaikutustenarvioinnit, varmista, että arviointi kattaa yhteiskunnalliset vaikutukset, ja jäljitä mahdolliset toimenpiteet järjestelmän sulkemiseen asti. |
| A.6 Tekoälyjärjestelmän elinkaari | Tavoitteet, suunnittelu, kehitys, todentaminen, validointi, käyttöönotto, toiminta, valvonta ja käytöstäpoistoon liittyvät valvonnat käytössä; näyttöä kerätään jokaisessa vaiheessa | Elinkaaridokumentaatio, suunnitteluraportit, testisuunnitelmat, validointiraportit, käyttöönottohyväksynnät, valvontalokit, käytöstäpoistotiedot | Valitse yksi tekoälyjärjestelmä ja käy läpi sen koko elinkaari tarkastaen todisteita jokaisessa vaiheessa; varmista, että validointi oli riippumaton kehityksestä |
| A.7 Tekoälyjärjestelmien data | Tiedonhankinnan, laadun, valmistelun ja alkuperän valvonnan määrittely ja soveltaminen; tietolähteet dokumentoitu; laatu mitattu; alkuperä säilytetty | Tietolähdeluettelo, laatukriteerit, tiedon valmistelutiedot, alkuperädokumentaatio, laillisen perustan tiedot tarvittaessa | Ota näyte harjoitusaineistosta yhtä laajuusjärjestelmää varten, tarkista alkuperä ja varmista, että laatutarkastukset on suoritettu ja dokumentoitu. |
| A.8 Tietoa kiinnostuneille osapuolille | Järjestelmädokumentaatio toimitettu käyttäjille; ulkoiset raportointimekanismit määritelty; poikkeamaviestintäsuunnitelmat käytössä | Käyttäjälle suunnattu dokumentaatio, julkaisutiedot, ulkoiset raportointitietueet, tapahtumaviestintämallit ja lokit | Tarkasta yhden käyttöönotetun järjestelmän käyttäjädokumentaatio, ota näytteitä mahdollisista tapahtumakommunikaatioista ja varmista, että ulkoiset raportointivelvoitteet täyttyvät. |
| A.9 Tekoälyjärjestelmien käyttö | Vastuullisen käytön prosessit määritelty; käyttötarkoitus dokumentoitu; käyttötavoitteet tarkistettu; tarkoituksenvastainen käyttö estetty tai havaittu | Käyttötapausrekisteri, käyttötarkoituksen lausunnot, hyväksyttävän käytön käytäntö, valvontarekisterit, arviointien tulokset | Ota kaksi käyttötapausta, vertaa todellista käyttöä aiottuun käyttöön, tarkasta seuranta ja tarkastele näyttöä |
| A.10 Kolmannen osapuolen ja asiakkaan suhteet | Tekoälyjärjestelmien ja -komponenttien toimittajat arvioitu; osapuolten väliset vastuut jaettu; asiakkaiden velvoitteet dokumentoitu | Toimittajarekisteri, joka sisältää tekoälyyn liittyvät due diligence -tarkastukset, sopimukset, vastuunjakomatriisin ja asiakaskohtaisten velvoitteiden dokumentoinnin | Ota otos kahdesta tekoälytoimittajasta, tarkasta due diligence -kirjat ja sopimukset ja varmista, että vastuut on jaettu selkeästi kirjallisesti. |
A.2 Tekoälyyn liittyvät käytännöt
Aloita talon huipulta. Varmista, että tekoälykäytäntö on olemassa, että se on hyväksytty oikealla tasolla, että sitä tarkastellaan määritellyn syklin mukaisesti ja että henkilöstö on tiedottanut siitä ja vahvistanut sen asiaankuuluvissa rooleissa. Käytännön tulisi asettaa suunta vastuullinen tekoäly ja sen tulisi olla johdonmukainen muiden organisaation käytäntöjen, erityisesti tietoturvan ja tietosuojan, kanssa. Tässä havainnot liittyvät usein myöhästyneisiin tarkastuksiin, puutteellisiin kuittaustietoihin tai käytäntöön, jossa ei mainita jotakin keskeistä aluetta, kuten kolmannen osapuolen tekoäly työkaluja.
A.3 Sisäinen organisaatio
Auditoi hallintorakenne. Kuka omistaa tekoälypäätökset? Missä tekoälyyn liittyvät huolenaiheet ilmoitetaan ja miten ne priorisoidaan? Onko olemassa hallintofoorumia, jolla on selkeät toimintasäännöt ja päätösvaltaisuus? Laadi mallikokouspöytäkirjat sisällöstä, ei pelkästään läsnäolosta. Yleinen havainto on hyvin täytetty RACI, joka ei heijastu varsinaisessa päätöksenteossa. Tämä on helppo havaita jäljittämällä todellinen päätös alusta loppuun.
A.4 Tekoälyjärjestelmien resurssit
Varmista, että tekoälyjärjestelmien kehittämiseen, käyttöön ja hallintaan tarvittavat resurssit on tunnistettu, dokumentoitu ja riittävät. Resursseihin kuuluvat data, työkalut, laskentainfrastruktuuri ja inhimillinen asiantuntemus. Osaamisalue on usein heikoin. Etsi roolikohtaisia osaamiskriteerejä ja näyttöä siitä, että kyseisissä rooleissa olevat ihmiset täyttävät ne, yleisten koulutustietojen sijaan.
A.5 Tekoälyjärjestelmien vaikutusten arviointi
Tekoälyjärjestelmien vaikutustenarvioinnit ovat yksi ISO 42001 -standardin määrittelevistä piirteistä ja säännöllinen tulosten lähde. Arvioinnin tulisi kattaa vaikutukset yksilöihin, ryhmiin ja yhteiskuntaan, ja se tulisi tehdä ennen käyttöönottoa ja tarkistaa muutosten yhteydessä. Katso tarkempi oppaamme aiheesta. Tekoälyvaikutusten arvioinnit käytännön esimerkkejä varten. Ota näyte kahdesta tekoälyjärjestelmästä ja jäljitä täydellinen vaikutustenarviointi hyväksyntään ja toimenpiteen loppuun saattamiseen asti.
A.6 Tekoälyjärjestelmän elinkaari
Tämä on suurin valvonta-alue ja palkitsee elinkaariläpikäynnin. Valitse yksi tuotantokäyttöön tarkoitettu tekoälyjärjestelmä ja seuraa sitä tavoitteiden asettamisesta suunnittelun, kehityksen, todentamisen, validoinnin, käyttöönoton, toiminnan, valvonnan ja käytöstä poistamisen läpi. Kriittinen testi on, oliko validointi riippumaton kehityksestä ja onko valvonta havainnut poikkeamia, häiriöitä tai järjestelmän käyttötarkoituksen ulkopuolista käyttöä. Tekoälyjärjestelmän elinkaari oppaassa esitetään täydellinen valvontaluettelo.
A.7 Tekoälyjärjestelmien tiedot
Tekoälyjärjestelmien onnistuminen tai epäonnistuminen riippuu datasta. Tarkasta tiedonhankinta, laatu, valmistelu ja alkuperän hallinta. Ota otos harjoitusaineistosta ja varmista, että sen lähteet, lisenssit, laatutarkastukset ja laillinen perusta (jos kyseessä on henkilötietoja) on dokumentoitu. Vanhempien järjestelmien kohdalla on odotettavissa ongelmia alkuperän ja epämuodollisen datan laadun mittaamisen kirjaamisen sijaan.
A.8 Tietoa kiinnostuneille osapuolille
Varmista, että käyttäjät, asiakkaat, sääntelyviranomaiset ja muut asianosaiset saavat tarvitsemansa tiedot. Tämä sisältää järjestelmädokumentaation käyttöönoton yhteydessä, häiriötilanteisiin liittyvän viestinnän ja mahdolliset ulkoiset raportointivelvoitteet. Ota näyte äskettäisestä häiriöstä tai olennaisesta muutoksesta ja tarkasta sitä seurannut viestintä.
A.9 Tekoälyjärjestelmien käyttö
Jokaisen tekoälyjärjestelmän aiottu käyttö tulisi dokumentoida, ja todellista käyttöä tulisi seurata sen perusteella. Sekä organisaatiot, jotka kehittävät vain tekoälyä, että organisaatiot, jotka ottavat käyttöön vain kolmannen osapuolen tekoälyä, tarvitsevat tämän kontrollialueen. Ota näyte kahdesta käyttötapauksesta, vertaa todellista käyttöä aiottuun käyttöön ja tarkasta poikkeamia havaitseva seuranta.
A.10 Kolmannen osapuolen ja asiakassuhteet
Tarkasta, miten tekoälytoimittajia arvioidaan, miten vastuut jaetaan sinun ja heidän välillään ja miten asiakkaiden velvoitteet dokumentoidaan. Erityisesti perusmallien tarjoajien ja tekoäly-API-toimittajien osalta varmista, että due diligence -tarkastuksessa on kirjattu mallin alkuperä, arviointitiedot ja häiriöilmoitusvelvoitteet. Tässä havainnot liittyvät usein sopimuksiin, jotka ovat peräisin ennen tekoälyohjelmaa, eikä niitä ole päivitetty vastaamaan jaettuja vastuita.
Mitä todisteita sinun tulisi kerätä tekoälyauditoinnissa?
Todisteet muuttavat lausunnon löydökseksi. Kerää jokaista tarkistuslistan kohtaa kohden vähintään yksi seuraavista ja liitä se tilintarkastustyöpapereihin:
- Asiakirjatodisteet. Käytännöt, menettelytavat, rekisterit, arviointiasiakirjat, kokouspöytäkirjat, hyväksyntäasiakirjat ja koulutusasiakirjat.
- Järjestelmän tuottama todistusaineisto. Käyttölokit, valvontalähdöt, mallin suorituskyvyn koontinäytöt, ajautumisen havaitsemishälytykset ja tapahtumatiketit.
- Haastattelumuistiinpanot. Läpikäynnit hallintaoikeuksien omistajien, hallintofoorumin jäsenten, datatieteilijöiden ja tuotepäälliköiden kanssa, päivämäärä, osallistujat ja keskeiset kohdat kirjattuina.
- Havainnointitodisteet. Kuvakaappaukset, näyttötallenteet tai kommentoidut otteet, jotka näyttävät ohjausobjektin toiminnassa, kuten hyväksyntätyönkulku, joka hylkää hyväksymättömän muutoksen.
- Näyte testitulokset. Jos olet testannut otoksen (esimerkiksi kymmenen tekoälyjärjestelmän vaikutustenarviointia viidestätoista), kirjaa ylös otoksen koko, valintamenetelmä ja hyväksymis- tai hylkäystulos kunkin kohteen osalta.
Yhdistä jokainen evidenssi takaisin sitä tukevaan kontrolliin ja sen taustalla olevaan tarkastushavaintoon (tai sen puutteeseen). Tämä jäljitettävyys on juuri sitä, mitä ulkoinen tarkastaja haluaa nähdä asiakirjoissasi, ja se on yksi yleisimmistä virheistä paperipohjaisissa tarkastuksissa. Katso täydellinen kuva siitä, mitä standardi vaatii kirjallisesti, oppaastamme. ISO 42001 -standardin edellyttämä dokumentaatio.
Aloita ilmainen kokeilu
Haluatko tutkia?
Rekisteröidy ilmaiseen kokeilujaksoon tänään ja pääset käyttämään kaikkia ISMS.onlinen tarjoamia yhteensopivuusominaisuuksia
Miten dokumentoitte löydökset ja korjaavat toimenpiteet?
Löydös on dokumentoitu tosiseikka, jota tukee näyttö ja jota arvioidaan kriteeriä vasten. Hyvillä löydöksillä on neljä osaa: ehto (mitä havaittiin), kriteeri (mitä vaadittiin, esimerkiksi lauseke tai kontrolli), syy (miksi se tapahtui) ja seuraus (mitä se tarkoittaa AIMS:lle). Löydökset luokitellaan sitten tyypillisesti seuraavasti:
- Merkittävä poikkeama. Vaaditun valvonnan täydellinen pettäminen tai useat toisiinsa liittyvät pienet poikkeamat, jotka viittaavat systeemiseen ongelmaan. Nämä estävät sertifioinnin, jos ulkopuolinen auditoija löytää ne.
- Vähäinen poikkeama. Yksittäinen puute muuten toimivassa kontrollissa. On korjattava, mutta se harvoin estää sertifioinnin yksinään.
- Havainto tai parannusmahdollisuus. Ei vaatimusten rikkominen, mutta asia, johon kannattaa puuttua ennen kuin siitä tulee löydös.
Jokaisen poikkeaman tulisi käynnistää korjaava toimenpide kohdan 10 mukaisesti. Tämä tarkoittaa poikkeaman korjaamista, syyn selvittämistä, sen selvittämistä, onko vastaavia ongelmia muualla, toimenpiteen toteuttamista, tehokkuuden varmentamista ja dokumentoidun tiedon säilyttämistä. Korjaavien toimenpiteiden kirjausten tulisi linkittää takaisin auditointihavaintoihin ja välittää eteenpäin riskien, kontrollien, käytäntöjen tai muiden toimintojen päivityksiin. Ilmoitus soveltuvuudesta.
Hyödyllisessä havaintojen mallissa on sarakkeet seuraaville: havainnon tunnus, auditointiviite, liitteen A kontrolli tai lauseke, ehto, kriteeri, syy, seuraus, luokittelu, omistaja, määräpäivä, korjaava toimenpide, tehokkuuden varmentaminen ja sulkemispäivämäärä. Pudota tämä työpapereihisi tai, vielä parempi, alustalle, joka hoitaa seurannan puolestasi.
Miten ISMS.online yksinkertaistaa tekoälytarkastuksia
ISMS.online tarjoaa sinulle auditointitarkistuslistan, todistusaineiston, löydösten seurannan ja korjaavien toimenpiteiden työnkulun yhdessä paikassa, valmiiksi ISO 42001 -standardin mukaisesti.
- Valmiiksi rakennettu auditointiohjelma. Sisäisen tarkastuksen suunnitelmat on yhdenmukaistettu kohdan 9.2 kanssa, ja niihin on sisäänrakennettu tarkastuksen aikataulu, laajuuden määrittely ja tarkastajien tehtävät.
- Tarkistuslistamallit liitteen A alueittain. Jokainen tarkistuslistan kohta on jo yhdistetty asiaankuuluvaan kontrolliin, joten tarkastajat käyttävät aikaa arviointiin mallien kirjoittamisen sijaan.
- Yhdistetty näyttö kontrollitasolla. Liitteen A mukaisia kontrolleja vastaan kerätty todistusaineisto näkyy suoraan tarkastuslistasta, mikä poistaa aarteenetsinnän tarpeen.
- Löydökset ja korjaavat toimenpiteet yhdessä työnkulussa. Auditoinnin aikana esiin tuodut poikkeamat luovat automaattisesti korjaavat toimenpiteet omistajineen, määräpäivineen, varmennusvaiheineen ja sulkemisen seurantaineen kohdan 10 mukaisesti.
- Johdon tarkasteluun syötteet luodaan automaattisesti. Auditointitulokset, poikkeamat ja toimenpiteet näkyvät suoraan kohdan 9.3 mukaisessa johdon tarkastelupaketissa.
- Usean standardin uudelleenkäyttö. ISO 27001 -standardin sisäisiä auditointeja varten kerättyä todistusaineistoa voidaan käyttää uudelleen asiaankuuluvia ISO 42001 -standardin mukaisia kontrolleja vastaan, koska se kaikki sijaitsee samalla alustalla.
Tuloksena on, että auditointi, joka olisi vienyt kaksi viikkoa taulukoiden kanssa vääntämistä ja sähköpostien jahtaamista, toimii hallittuna työnkulkuna yhden työkalun sisällä, ja todistusaineisto on valmiina ulkoista auditoijaa varten.
Miksi valita ISMS.online tekoälyauditoinnin hallintaan?
ISMS.online on rakennettu alusta alkaen ISO 42001 -standardin mukaisesti, mukaan lukien koko sisäisen auditoinnin sykli. Tässä on mitä saat, kun suoritat tekoälyauditointeja alustalla:
- Käyttövalmis tekoälytarkistuslista. Esimääritetty kohtaan 9.2 ja jokaiseen liitteen A valvonta-alueeseen, joten ensimmäinen auditointi ei ala tyhjällä pohjalla.
- Integroitu todistusaineisto. Käytännöt, riskit, vaikutustenarvioinnit ja kontrollitodisteet liittyvät niiden tukemiin kontrolleihin, joten tilintarkastajat avaavat kohteen ja näkevät todisteet.
- Löydökset ja toimenpiteet yhdessä paikassa. Auditoinnin aikana esiin tuodut poikkeamat luovat korjaavia toimenpiteitä omistajien kanssa, määräaikoja ja tehokkuuden varmennustarkastuksia kohdan 10 mukaisesti.
- Johdon tarkastus valmis. Auditoinnin tulokset, poikkeamat ja korjaavat toimenpiteet syötetään suoraan kohdan 9.3 mukaiseen johdon arviointipakettiin, mikä poistaa tiedonkeruun vuoden lopulla.
- Jaettu ISO 27001 -standardin kanssa. Yksi auditointiohjelma, joka kattaa ISO 42001- ja ISO 27001 -standardit ja käyttää yhtä todistusaineistoa, yhtä riskirekisteriä ja yhtä sovellettavuuslausunnon laatijaa.
- Taattujen tulosten menetelmä. Todistettu käyttöönotto- ja auditointimenetelmä, joka on auttanut satoja organisaatioita saavuttamaan sertifioinnin ensimmäisellä kerralla, ja tarjoaa reaaliaikaista ihmistukea koko prosessin ajan.
Olitpa sitten suorittamassa ensimmäistä sisäistä auditointiasi, valmistautumassa vaiheen 2 sertifiointiauditointiin tai hallinnoimassa vuosittaista valvontaa, ISMS.online pitää ohjelman jäsenneltynä ja näytön puolustettavissa. Laajempaa valmiustarkistusta varten suorita kuiluanalyysi ensin tai käy läpi koko ISO 42001 -vaatimustenmukaisuuden tarkistuslista.
Oletko valmis näkemään alustan toiminnassa? Varaa demo nähdä miten ISMS.online voi tehostaa tekoälytarkastusohjelmaasi.
UKK
Mikä on tekoälyn tarkistuslista?
Tekoälyauditoinnin tarkistuslista on jäsennelty luettelo kohteista, joita sisäinen tarkastaja käyttää arvioidakseen, onko organisaation tekoälynhallintajärjestelmä ISO 42001 -standardin mukainen ja onko se tehokkaasti toteutettu. Hyvä tarkistuslista kattaa kohdan 9.2 auditointivaatimukset ja kaikki yhdeksän liitteen A valvonta-aluetta (A.2–A.10), ja kullekin kohdalle on määritelty odotetut todisteet ja testausmenettelyt, jotta havainnot ovat johdonmukaisia ja puolustettavissa.
Kuinka usein minun pitäisi suorittaa tekoälyn sisäinen auditointi?
ISO 42001 -standardin kohta 9.2 edellyttää sisäisiä auditointeja suunnitelluin väliajoin, mutta ei määrää tiettyä tiheyttä. Käytännössä useimmat organisaatiot suorittavat täyden tekoälyjärjestelmien auditoinnin vuosittain ja lisäksi kohdennettuja auditointeja korkeamman riskin tekoälyjärjestelmiin tai valvonta-alueisiin vähintään kuuden kuukauden välein. Auditointitiheyden tulisi olla riskiperusteinen, joten tuotannossa oleva, vaikuttava generatiivinen tekoälyjärjestelmä vaatii useammin tarkastuksia kuin sisäinen tuottavuustyökalu.
Kuka voi suorittaa ISO 42001 -standardin mukaisen sisäisen auditoinnin?
Sisäisten tarkastajien on oltava objektiivisia ja puolueettomia, mikä tarkoittaa, että he eivät voi tarkastaa vastuullaan olevaa työtä. Monet organisaatiot käyttävät yhdistelmää koulutettua sisäistä henkilöstöä tekoälytoiminnon ulkopuolelta, keskitettyä varmennustiimiä tai riippumatonta kolmatta osapuolta, joka toimii heidän puolestaan ensimmäisenä tarkastajana. Tärkeää on, että tarkastaja on pätevä arvioimaan tekoälyyn liittyviä erityisiä kontrolleja ja että hänellä ei ole eturistiriitoja tarkastettaviin alueisiin liittyen.
Mitä eroa on tekoälyauditoinnilla ja tekoälyn vaikutustenarvioinnilla?
Tekoälyjärjestelmän vaikutustenarvioinnissa (liite A.5) arvioidaan tekoälyjärjestelmän mahdollisia vaikutuksia yksilöihin, ryhmiin ja yhteiskuntaan ennen käyttöönottoa sekä muutoksiin. Tekoälyauditoinnissa (kohta 9.2) arvioidaan, onko tekoälyä hallinnoiva hallintajärjestelmä, mukaan lukien itse vaikutustenarviointiprosessi, vaatimusten mukainen ja toimiiko se käytännössä. Auditoinnissa tyypillisesti otetaan huomioon vaikutustenarvioinnit todistusaineistona, mutta se kattaa myös käytännöt, elinkaaren hallinnan, tiedonhallintajärjestelmän, toimittajat ja kaikki muut tekoälyjärjestelmän osa-alueet.
Pitääkö sisäisen tarkastuksen kattaa jokainen tekoälyjärjestelmä joka kerta?
Ei. Auditointiohjelman tulisi varmistaa, että määritellyn syklin aikana (tyypillisesti yhdestä kolmeen vuotta) jokainen tekoälyjärjestelmän osa ja jokainen tarkastuksen piiriin kuuluva tekoälyjärjestelmä auditoidaan, mutta yksittäiset auditoinnit voidaan rajata osajoukkoon. Useimmissa organisaatioissa vuosittainen auditointi ottaa tekoälyjärjestelmistä otoksia riskin ja olennaisuuden perusteella, joten vaikuttavimmat järjestelmät auditoidaan useimmin ja vähemmän riskialttiit järjestelmät kiertojärjestyksessä. Auditointiohjelma itsessään on dokumentoitu todiste tästä suunnitelmasta.
Miten tekoälyauditoinnin löydökset linkittyvät korjaaviin toimenpiteisiin?
Jokaisen auditoinnin aikana esiin tuodun poikkeaman tulisi käynnistää kohdan 10 mukainen korjaava toimenpide. Tämä tarkoittaa ongelman korjaamista, perimmäisen syyn selvittämistä, sen selvittämistä, onko sama ongelma olemassa muualla, toimenpiteen toteuttamista, tehokkuuden varmistamista ja dokumentoidun tiedon säilyttämistä. ISMS.onlinetarkastuksen aikana esiin tuodut löydökset luovat automaattisesti korjaavia toimenpiteitä omistajien ja määräaikojen kanssa, ja tehokkuuden varmennusta seurataan aina hankkeen päättämiseen asti, joten mikään ei jää odottamaan.
Voiko sama auditointi kattaa ISO 42001- ja ISO 27001 -standardit?
Kyllä. Molemmat standardit noudattavat liitteen SL korkean tason rakennetta ja jakavat lausekkeita johtajuudesta, suunnittelusta, tuesta, toiminnasta, arvioinnista ja parantamisesta. ISO 42001 -standardin liite D sisältää selkeän vastaavuuden ISO 27001 -standardiin. Yhdistetty auditointiohjelma on tehokkaampi, välttää päällekkäistä todisteiden keräämistä ja sitä tukevat usean standardin alustat, kuten ISMS.online jotka käyttävät yhtä riskirekisteriä, todistusaineistoa ja tarkastusprosessia molemmissa standardeissa.
