ISO/IEC42001 規格の構造・全体像を超解説(2)

おはようございます！マネジメントオフィスいまむらの今村敦剛です。

今回は、今めちゃくちゃ注目を浴びている、AIガバナンスの世界標準、ISO/IEC42001の規格の構造・全体像についてわかりやすく、3回にわたって解説します。ISO42001とは、どのような形をしているのか、今回は「二重サイクル」の観点から解説します。

スポンサーリンク

動画でも解説しています（無料・登録不要）

前回の記事はこちら

AIガバナンスの「二重サイクル」とは

AIガバナンスには「二重サイクル」という考えがあります。経営レベルのサイクルと、現場レベルのサイクルの２つのサイクルを回すという考え方ですね。これはISO42001に固有の考えというわけではなく、マネジメントシステムには一般的に経営レベルのPDCAサイクルと、現場レベルのPDCAサイクルの両方を連動させながら回していくべきという考え方があります。

どうしてこういう考え方があるのかを、例を挙げて説明しましょう。たとえば、経営層が「AIを使ってリスクを抑えつつ新しいビジネスを拡大していく」といった目標を掲げたとしても、それをどう具体的な施策や手順に落とし込むかは現場の知見が不可欠です。一方、現場が日々の業務や開発プロセスの中で改善策を積み上げていっても、経営の方針やリソース配分と連動していなければ大きな成果は出にくくなります。そこで、経営レベルのPDCA（計画・実行・確認・改善）と、現場レベルのPDCAを同時に回して、お互いの結果をフィードバックし合う仕組みが大切になるわけです。

マネジメントシステムの本質は、「組織全体の目標や方針を定め、それを実現するために必要な活動を体系的にマネジメントし、継続的に改善すること」です。そのためには、トップダウン的な視点（経営レベル）とボトムアップ的な視点（現場レベル）の両方がうまく噛み合っていないと、一貫性のある改善サイクルにはなりません。経営レベルだけでPDCAを回しても、実務面での課題があいまいになりますし、逆に現場だけでPDCAを回しても、そもそもの方向性がずれてしまう可能性がありますからね。

ISO42001には「二重のPDCAサイクル」

では、ISO42001の「二重のPDCAサイクル」を見ていきます。

まずは経営レベルのPDCA（青）から説明します。経営者は、組織が置かれている状況や利害関係者（顧客や規制当局など）のニーズ・期待をしっかり分析し、そこから方針を決め、各担当の役割や責任などを決めます。ここが「計画（Plan）」の段階です。設定した方針や目標を実際に進めていく（Do）の部分は後ほど詳しく説明しますが、経営者の役目は環境を整えたり、大枠を示すことですね。そして、経営レベルのサイクルが、信頼性などの点で成果を出しているかを評価（Check）し、もし問題や不足があれば改善（Act）を行います。この一連の流れを回すのが経営レベルのPDCAというわけです。

次に、現場レベルのPDCA（橙）です。経営が示した方針や目標を、実際に“手を動かして”実行するのが現場です。まず現場では、AIシステムの開発・利用に必要な計画を立てます。具体的には、想定されるリスクや達成したい目標を洗い出し、必要な人材・設備・ルール、仕事をするうえでの運用基準などを整えます。これが現場レベルの「計画（P）」です。それらの計画をもとに、開発・検証・運用などの作業を進めます。また、リスク評価やリスク対応、AIシステムの影響評価なども現場で実行します。これが「運用（D)」です。さらに、こうした作業の成果が想定どおりに出ているかを現場レベルでも評価（Check）します。もし問題があれば速やかに修正や改善（Act）を行います。

現場のPDCAは、経営レベルよりも短いサイクルで素早く回して、変化の早いAIの世界で起きる様々な課題や問題に即応することが求められています。さらに、現場で発生した情報や改善点は経営レベルにもフィードバックされ、経営の方針や目標設定自体をアップデートしていくという形で、経営レベルと現場レベルのPDCAが連動します。このような二重サイクルによって、AIシステムを導入・運用する組織全体の「大きな方向性（戦略面）」と「具体的な実行面」がうまく噛み合うようになる、ということですね。その結果、AIシステムの信頼性や社会的責任をしっかりと担保できる、というわけです。