آمادگی برای ممیزی ISO 42001: ممیز چه مستنداتی از شما می‌خواهد؟ (چک‌لیست کامل)

روزی که ممیز ISO/IEC 42001 وارد سازمان شما می‌شود، سؤال اصلی‌اش این نیست که «آیا از هوش مصنوعی درست استفاده می‌کنید؟» سؤالش این است: «نشانم بدهید.» ممیزی بر پایه‌ی شواهد است. سازمانی که واقعاً کار درست را انجام می‌دهد اما آن را مستند نکرده، از نظر ممیز با سازمانی که کاری نکرده تفاوت چندانی ندارد.

این راهنما فهرست مستندات و شواهدی را که در ممیزی ISO/IEC 42001 معمولاً بررسی می‌شود، بر اساس ساختار خود استاندارد مرور می‌کند. (برای آشنایی کلی با استاندارد، ابتدا مقاله‌ی ISO/IEC 42001 چیست؟ را بخوانید.)

سه سند که بدون آن‌ها ممیزی شروع نمی‌شود

اگر فقط سه چیز آماده کنید، این سه باشد:

1. سیاست هوش مصنوعی (بند ۵٫۲): سند مصوب مدیریت ارشد که اهداف و تعهدات سازمان درباره‌ی هوش مصنوعی را بیان می‌کند. نمونه‌ی یک دستورالعمل را ببینید.
2. ارزیابی ریسک و ثبت ریسک‌ها (بندهای ۶٫۱٫۲ و ۸٫۲): روش ارزیابی ریسک هوش مصنوعی و نتایج آن؛ یعنی فهرست ریسک‌های شناسایی‌شده با احتمال، اثر و مالک.
3. شواهد نظارت و کنترل: اینکه کنترل‌های انتخاب‌شده — از جمله نظارت انسانی بر تصمیم‌های حساس — واقعاً اجرا می‌شوند.

چک‌لیست کامل مستندات بر اساس بندهای استاندارد

بند ۴ — بافت سازمان

• تحلیل مسائل درونی و بیرونی مرتبط با هوش مصنوعی
• فهرست ذی‌نفعان و انتظارات آن‌ها (مشتریان، ناظران، کارکنان، افراد متأثر از سیستم‌ها)
• تعیین نقش سازمان در قبال AI (ارائه‌دهنده، توسعه‌دهنده، استفاده‌کننده و…)
• سند دامنه‌ی سیستم مدیریت هوش مصنوعی (کدام واحدها، سیستم‌ها و فعالیت‌ها)

بند ۵ — رهبری

• سیاست هوش مصنوعی مصوب و ابلاغ‌شده
• شواهد تعهد مدیریت ارشد (صورت‌جلسه، تخصیص منابع)
• تعریف نقش‌ها، مسئولیت‌ها و اختیارات (چه کسی مالک سیستم مدیریت است، چه کسی مالک هر سیستم AI)

بند ۶ — برنامه‌ریزی

• روش و معیارهای ارزیابی ریسک هوش مصنوعی (ISO/IEC 23894 راهنمای مفیدی برای این بخش است)
• نتایج ارزیابی ریسک
• برنامه‌ی برخورد با ریسک
• بیانیه‌ی کاربست‌پذیری (Statement of Applicability): فهرست کنترل‌های پیوست A، اینکه کدام اعمال شده، کدام نه و چرا
• روش و نتایج ارزیابی اثر سیستم‌های هوش مصنوعی بر افراد، گروه‌ها و جامعه (ISO/IEC 42005 راهنمای تفصیلی آن است)
• اهداف هوش مصنوعی و برنامه‌ی دستیابی به آن‌ها

بند ۷ — پشتیبانی

• شواهد صلاحیت افراد کلیدی (سوابق آموزش، تجربه)
• شواهد آگاهی کارکنان از سیاست و نقششان (برنامه و سوابق آموزش)
• برنامه‌ی ارتباطات داخلی و بیرونی
• کنترل مستندات (نسخه، تاریخ، تأییدکننده)

بند ۸ — عملیات

• برنامه‌ریزی و کنترل عملیاتی فرایندهای مرتبط با AI
• ارزیابی‌های ریسک و اثر که در عمل و در فواصل برنامه‌ریزی‌شده یا هنگام تغییرات انجام شده‌اند
• مستندات چرخه‌ی عمر سیستم‌ها: الزامات، طراحی یا خرید، آزمون، استقرار، پایش
• مستندات داده: منشأ، کیفیت، آماده‌سازی
• سوابق مربوط به تأمین‌کنندگان و اشخاص ثالث

بند ۹ — ارزیابی عملکرد

• نتایج پایش و اندازه‌گیری (شاخص‌ها، گزارش‌ها)
• برنامه و گزارش‌های ممیزی داخلی
• صورت‌جلسه‌ی بازنگری مدیریت با ورودی‌ها و تصمیم‌های مشخص

بند ۱۰ — بهبود

• ثبت عدم‌انطباق‌ها و رخدادها
• اقدام‌های اصلاحی و شواهد اثربخشی آن‌ها

ممیزی چطور انجام می‌شود؟

گواهی ISO/IEC 42001 را نهادهای گواهی‌دهنده‌ی معتبر صادر می‌کنند، نه خود ISO. استاندارد ISO/IEC 42006 (۲۰۲۵) الزامات صلاحیت این نهادها و ممیزانشان را تعیین کرده و اصول عمومی ممیزی از ISO 19011 پیروی می‌کند. روند معمول:

• مرحله‌ی اول: ممیز مستندات را بررسی می‌کند و آمادگی سازمان را برای مرحله‌ی دوم می‌سنجد. شکاف‌های جدی همین‌جا مشخص می‌شوند.
• مرحله‌ی دوم: ممیز بررسی می‌کند سیستم مدیریت واقعاً اجرا می‌شود: با کارکنان مصاحبه می‌کند، نمونه‌ی سوابق را می‌بیند و اجرای کنترل‌ها را بررسی می‌کند.
• پس از گواهی: ممیزی‌های مراقبتی سالانه و ممیزی تمدید پس از سه سال.

اشتباهات رایج در آمادگی برای ممیزی

1. مستندسازی بدون اجرا. قالب‌های آماده‌ی زیبا بدون سوابق واقعی، در مرحله‌ی دوم سریعاً آشکار می‌شوند. ممیز از کارمند می‌پرسد «اگر داده‌ی مشتری را اشتباهی وارد ابزار کنید چه می‌کنید؟» و پاسخ او را با سیاست مقایسه می‌کند.
2. دامنه‌ی مبهم. اگر معلوم نباشد کدام سیستم‌ها در دامنه‌اند، ممیزی نمی‌تواند نتیجه‌ی قابل‌اتکا بدهد.
3. فراموش کردن ارزیابی اثر. سازمان‌هایی که ISO/IEC 27001 دارند، معمولاً ارزیابی ریسک را بلدند، اما ارزیابی اثر بر افراد و جامعه — که خاص ISO/IEC 42001 است — را جا می‌اندازند.
4. بیانیه‌ی کاربست‌پذیری بدون توجیه. کنار گذاشتن یک کنترل اشکالی ندارد، اما باید دلیل مستند داشته باشد.
5. ممیزی داخلی و بازنگری مدیریت تشریفاتی. این دو باید پیش از ممیزی مرحله‌ی دوم دست‌کم یک بار به‌طور واقعی انجام شده باشند.
6. شروع دیرهنگام. سیستم مدیریت معمولاً باید چند ماه اجرا شود تا شواهد کافی جمع شود.

جمع‌بندی

آمادگی برای ممیزی ISO/IEC 42001 در واقع یعنی ساختن سیستمی که کار می‌کند و ردپای کارش را نگه می‌دارد. اگر امروز فقط سیاست، ثبت ریسک و شواهد نظارت انسانی را آماده کنید، از بیشتر سازمان‌ها جلوترید. مقایسه‌ی این استاندارد با چارچوب NIST را در مقاله‌ی تفاوت ISO/IEC 42001 و NIST AI RMF آورده‌ایم.

توجه: AI STANDARD نهاد گواهی‌دهنده نیست و گواهی ISO صادر نمی‌کند؛ این راهنما برای آمادگی است.