공지사항
[숏폼] ISO/IEC 42001 인증 추진, eiso로 이렇게 운영합니다(90초 실무 가이드)
작성자 관리자 | 작성일 2026-10-21 | 조회 7
AI를 업무에 쓰거나 AI 제품·서비스를 고객에게 제공하는 조직이 ISO/IEC 42001(AI 경영시스템) 인증을 준비할 때, eiso의 ICT 경영시스템 운영을 어떻게 쓰는지 90초로 정리했습니다. 위 재생 단추를 눌러 보십시오(세로 영상, 1분 30초).
심사원이 보는 것
인증 심사는 문서 한 벌보다 운영의 증거를 봅니다. AI를 어떻게 고르고(인벤토리), 리스크와 영향을 어떻게 평가했고(리스크평가·영향평가), 어떤 통제를 왜 적용했는지(적용명세서), 그 통제가 실제로 돌아간 기록(사용 승인·모니터링·교육·내부심사·경영검토)이 서로 이어지는지가 핵심입니다.
추진 순서와 eiso 운영 단계(괄호는 ISO/IEC 42001:2023 조항)
1. 적용범위와 AI 역할(4.3): 개발·공급·사용 가운데 조직의 역할을 먼저 정합니다. 역할에 따라 부속서 A 통제의 적용 여부가 달라집니다.
2. AI 상황분석(4.1~4.4)과 AI 목표수립(5.2·6.2): 이해관계자·PESTEL·SWOT으로 이슈를 정리하고, AI 방침과 효과성·효율성 중심의 AI 목표를 세웁니다.
3. AI 선정과 AI 시스템 인벤토리: 업무마다 AI를 6축으로 평가해 고르고, 역할·사용범위·LEVEL을 인벤토리에 등록합니다. 이 목록이 리스크평가의 대상입니다.
4. AI 리스크평가(6.1.2·8.2, ISO/IEC 23894 참고)와 AI 시스템 영향평가(6.1.4·8.4, ISO/IEC 42005 참고): 우도×심각도로 평가하고, 고위험 과제는 개인·집단·사회에 미치는 영향을 영역별로 평가합니다.
5. 통제 도입과 적용명세서(6.1.3, 부속서 A 38개 통제): 리스크 처리에서 고른 통제와 제외 사유를 적용명세서(SoA)로 남깁니다.
6. 검증·사용 승인, 운용관리, 문서화된 정보 관리(7.5·8장): 사용 승인 게이트를 거친 AI만 운영하고, AI 운용관리 대장으로 버전·변경을, 문서 목록으로 최신판을 관리합니다.
7. 사용 중 모니터링(9.1)과 AI 법규파악·모니터링: AI 관련 법규를 1차 출처로 조사해 법규관리대장에 올리고, 반기마다 개정과 준수 상태를 다시 점검합니다.
8. 내부심사(9.2), 경영검토(9.3), 부적합 및 시정조치(10.2), 개선(10.1): 체크리스트와 AI 가상 심사로 미리 점검하고, 결정과 개선이 다음 회차의 상황분석·목표로 이어집니다.
ISO/IEC 27001을 함께 운영할 때
- 통합 운영: 리스크 대장·내부심사·경영검토는 하나로, 적용명세서는 표준마다 따로 둡니다.
- 표준별 독립 운영: 표준마다 운영 플랫폼을 나눠 단계·결과·문서를 따로 관리합니다.
추진 팁(전문가 관점)
- 인벤토리 → 리스크평가 → 통제 → 적용명세서가 번호로 이어져야 심사원이 추적할 수 있습니다. 순서를 건너뛰지 마십시오.
- 적용명세서에서 "적용"으로 선언한 통제마다 운영 기록(승인 기록·모니터링 결과·교육 기록 등)이 증거로 남아야 합니다.
- AI 법규는 바뀌는 속도가 빠릅니다. 1차 출처로 확인하고 확인일을 남기며, 확인하지 못한 시행일·조항은 "확인 필요"로 둡니다.
- 인증 심사 전에 내부심사와 경영검토를 한 번 이상 마쳐 운영 기록을 갖추는 것을 권합니다.
이용 금액
- 경영시스템 운영 이용권: 첫 표준 연 30만원, 표준이 하나 늘 때마다 10만원(부가세 별도, 결제일부터 1년).
자세히 보기
- ICT 경영시스템 운영 안내: https://eiso.co.kr/html/sub02_75
- eiso 비용 안내: https://eiso.co.kr/html/sub02_6
※ AI 결과물은 귀사가 검토·확정하는 참고용 초안이며, 인증 결과를 보장하지 않습니다. eiso는 특정 인증기관과 독립해 에이전트가 운영합니다.
문의: eiso@eiso.co.kr
심사원이 보는 것
인증 심사는 문서 한 벌보다 운영의 증거를 봅니다. AI를 어떻게 고르고(인벤토리), 리스크와 영향을 어떻게 평가했고(리스크평가·영향평가), 어떤 통제를 왜 적용했는지(적용명세서), 그 통제가 실제로 돌아간 기록(사용 승인·모니터링·교육·내부심사·경영검토)이 서로 이어지는지가 핵심입니다.
추진 순서와 eiso 운영 단계(괄호는 ISO/IEC 42001:2023 조항)
1. 적용범위와 AI 역할(4.3): 개발·공급·사용 가운데 조직의 역할을 먼저 정합니다. 역할에 따라 부속서 A 통제의 적용 여부가 달라집니다.
2. AI 상황분석(4.1~4.4)과 AI 목표수립(5.2·6.2): 이해관계자·PESTEL·SWOT으로 이슈를 정리하고, AI 방침과 효과성·효율성 중심의 AI 목표를 세웁니다.
3. AI 선정과 AI 시스템 인벤토리: 업무마다 AI를 6축으로 평가해 고르고, 역할·사용범위·LEVEL을 인벤토리에 등록합니다. 이 목록이 리스크평가의 대상입니다.
4. AI 리스크평가(6.1.2·8.2, ISO/IEC 23894 참고)와 AI 시스템 영향평가(6.1.4·8.4, ISO/IEC 42005 참고): 우도×심각도로 평가하고, 고위험 과제는 개인·집단·사회에 미치는 영향을 영역별로 평가합니다.
5. 통제 도입과 적용명세서(6.1.3, 부속서 A 38개 통제): 리스크 처리에서 고른 통제와 제외 사유를 적용명세서(SoA)로 남깁니다.
6. 검증·사용 승인, 운용관리, 문서화된 정보 관리(7.5·8장): 사용 승인 게이트를 거친 AI만 운영하고, AI 운용관리 대장으로 버전·변경을, 문서 목록으로 최신판을 관리합니다.
7. 사용 중 모니터링(9.1)과 AI 법규파악·모니터링: AI 관련 법규를 1차 출처로 조사해 법규관리대장에 올리고, 반기마다 개정과 준수 상태를 다시 점검합니다.
8. 내부심사(9.2), 경영검토(9.3), 부적합 및 시정조치(10.2), 개선(10.1): 체크리스트와 AI 가상 심사로 미리 점검하고, 결정과 개선이 다음 회차의 상황분석·목표로 이어집니다.
ISO/IEC 27001을 함께 운영할 때
- 통합 운영: 리스크 대장·내부심사·경영검토는 하나로, 적용명세서는 표준마다 따로 둡니다.
- 표준별 독립 운영: 표준마다 운영 플랫폼을 나눠 단계·결과·문서를 따로 관리합니다.
추진 팁(전문가 관점)
- 인벤토리 → 리스크평가 → 통제 → 적용명세서가 번호로 이어져야 심사원이 추적할 수 있습니다. 순서를 건너뛰지 마십시오.
- 적용명세서에서 "적용"으로 선언한 통제마다 운영 기록(승인 기록·모니터링 결과·교육 기록 등)이 증거로 남아야 합니다.
- AI 법규는 바뀌는 속도가 빠릅니다. 1차 출처로 확인하고 확인일을 남기며, 확인하지 못한 시행일·조항은 "확인 필요"로 둡니다.
- 인증 심사 전에 내부심사와 경영검토를 한 번 이상 마쳐 운영 기록을 갖추는 것을 권합니다.
이용 금액
- 경영시스템 운영 이용권: 첫 표준 연 30만원, 표준이 하나 늘 때마다 10만원(부가세 별도, 결제일부터 1년).
자세히 보기
- ICT 경영시스템 운영 안내: https://eiso.co.kr/html/sub02_75
- eiso 비용 안내: https://eiso.co.kr/html/sub02_6
※ AI 결과물은 귀사가 검토·확정하는 참고용 초안이며, 인증 결과를 보장하지 않습니다. eiso는 특정 인증기관과 독립해 에이전트가 운영합니다.
문의: eiso@eiso.co.kr
