본 사례는 교육 목적의 가상 시나리오입니다. 회사·사람·수치는 모두 지어낸 예시입니다. 법령의 조·항 번호와 법정 기준은 적지 않았으니 원문으로 확인하십시오. 화면 이름과 동작은 2026년 11월 eiso 기준입니다.

오늘의 상황

이 사례는 질문과 답변에 올라온 고객 질문 「AI리스크 평가」에서 출발했습니다. 질문은 한 줄이었습니다.

사례를 들어 AI리스크 평가하는 방법을 알려주세요.

담당자 답변의 요지는 둘입니다. 리스크 평가는 경영시스템 운영의 리스크평가 단계에서 AI 로 할 수 있고, 여러 표준을 함께 운영하면 같은 공정을 품질·환경·안전보건 관점에서 한 번에 평가할 수 있다는 것입니다. 아래는 그 답변의 도장 공정 예를 회사 하나의 이야기로 풀어 쓴 것입니다.

정약용(주)는 금속 부품을 가공해 분체·액체 도장까지 하는 회사입니다. 직원은 72명(예시)이고 ISO 9001·ISO 14001·ISO 45001 을 운영합니다. 리스크 평가는 해마다 세 번 했습니다.

도장 반장은 같은 공정을 세 번 설명했고, 평가표 셋은 기준도 번호도 달랐습니다. 지난해에는 이런 일이 있었습니다. 품질팀이 도막 두께를 맞추려고 희석제 비율을 올리자고 했는데, 그 조치가 휘발성 유기화합물 배출과 조색실 작업자의 흡입 노출을 늘린다는 사실은 석 달 뒤 위험성평가에서야 드러났습니다. 한 조치가 다른 표준의 리스크를 키운 것입니다.

경영지원팀장은 도장 공정 하나를 한 표에서 평가하기로 했습니다.

1. 운영 구성: 표준 셋, 리스크 평가는 함께

경영시스템 운영의 운용하기에서 차례로 골랐습니다.

• ① 운영하는 표준: ISO 9001 · ISO 14001 · ISO 45001
• ② 통합할 표준: 체크하지 않음(세 표준을 각각 운영)
• ③ 통합할 업무: 「리스크와 기회 평가」

표준은 따로 운영하되 리스크 평가만 함께 하는 구성입니다. 세 표준을 ② 에서 하나로 묶어 운영하는 회사라면 ③ 을 고르지 않아도 리스크평가를 한 결과로 받습니다. 이용권은 묶거나 함께 써도 표준마다 필요합니다.

2. 입력요소: 회사 폴더에서 도장 공정 자료 모으기

「회사 폴더」를 한 번 지정했습니다. eiso 는 그 폴더를 이 브라우저 안에서만 읽고 어디에도 올리지 않습니다. 리스크평가 단계의 입력요소에는 앞 단계(조직상황·법규파악) 결과와 함께 아래 자료가 잡혔습니다.

• 도장 공정 흐름도와 작업표준(전처리 → 조색 → 도장 → 건조 → 검사)
• 지난해 평가표 3종(품질·환경·안전보건)
• 지난해 도장 불량 집계, 방지시설 운영일지, 아차사고 기록
• 도료·희석제의 물질안전보건자료 목록

지정 조건 칸에는 "도장"이라고 적어 도장 공정 자료가 앞에 오게 했습니다. 자료가 비어 있어도 진행되지만, 없는 사실은 지어내지 않고 "(확인 필요)"로 나옵니다.

3. 특징적 사항과 요청사항

특징적 사항에서는 「리스크·기회 등록부」와 「평가 기준표(가능성×영향)」를 골랐습니다. 왼쪽 「프롬프트 작성」 칸에는 의견을 한 줄씩 적었습니다.

도장 공정만, 세부 공정(전처리·조색·도장·건조)별로
품질·환경·안전보건을 한 표에, 관점 칸을 따로
같은 원인에서 나온 리스크는 서로 번호로 이어 줘
한 조치가 다른 관점의 리스크를 키우는지도 봐 줘

「프롬프트 만들기」로 정리된 글을 한 번 고쳐 승인하고 요청사항 칸에 넣었습니다. 승인한 요청사항의 앞부분입니다.

목적: 도장 공정의 리스크와 기회를 품질·환경·안전보건 관점에서 한 번에 평가한다.
범위: 전처리, 조색, 도장, 건조. 검사와 출하는 뺀다.
꼭 반영할 내용: 관점 칸, 같은 원인 묶기, 조치가 다른 관점에 주는 영향.
문서 구성과 형식: 평가 기준표 1장, 등록부 1장, 통합 조치 계획 1장.
확인할 것: 자료에 없는 수치는 지어내지 않고 확인 필요로 둔다.

출력사항은 엑셀을 골랐습니다.

4. 결과물 엿보기: 한 등록부, 같은 기준

회사가 정한 기준(예시): 가능성(L)과 영향(S)을 각각 1~5 로 매겨 곱합니다. 16~25 는 높음(즉시 조치), 9~15 는 중간(계획 조치), 1~8 은 낮음(현 관리 유지)입니다. 법적 의무가 걸린 항목은 점수와 관계없이 준수의무로 이어 관리합니다.

표를 한 장으로 놓고 보니 그동안 따로 보던 것이 보였습니다.

• R-01·R-03·R-05 는 원인이 같습니다(C-1 희석제 계량과 용기 관리). 세 평가표에서는 서로 다른 세 건이었습니다.
• R-02·R-03 도 원인이 같습니다(C-2 필터). 품질팀은 이물 불량으로, 환경 담당은 배출로만 보았습니다.
• 지난해의 "희석제 비율 올리기"는 R-01 을 낮추고 R-03·R-05 를 높이는 조치였습니다. 결과물의 「조치가 다른 관점에 주는 영향」 칸에 그렇게 표시되었습니다.

표준별로 다른 요구는 같은 결과물 안에서 구분해 나왔습니다. 환경측면과 위험성평가는 시트가 나뉘고, 등록부의 번호로 서로 이어집니다.

5. 통합 조치 계획: 조치 하나로 리스크 셋

따로 평가하던 때라면 조치는 일곱 건(품질 2·환경 2·안전보건 3, 예시)이었을 것입니다. 원인으로 묶으니 넷이 되었고, 우선순위는 줄이는 리스크의 수와 등급으로 정했습니다. 평가 결과의 결정과 승인은 회사가 했습니다. 경영지원팀이 초안을 검토해 점수 두 곳을 고쳤고 대표가 승인했습니다.

조치의 실행은 표준마다 그 표준의 8절 운용 단계에서 이어집니다. 8절 운용은 함께 운영해도 표준별로 따로 씁니다.

• A-01 의 점도 기록은 ISO 9001 의 「생산 및 서비스 제공」 관리 항목으로
• A-02 의 차압 기준은 ISO 14001 의 운용기획으로
• A-03 의 환기·접지 점검은 ISO 45001 의 「리스크 감소」로

조치 진행과 재평가는 리스크·기회 대장에 번호 그대로 옮겨 관리했습니다.

6. 석 달 뒤 다시 평가

도장 공정에서 익힌 뒤 가공과 세척 공정도 같은 요청사항으로 평가했습니다. 설비나 도료가 바뀌면 그 공정만 다시 평가합니다.

AI 시스템 자체의 리스크라면

질문 제목의 "AI리스크"가 회사가 쓰는 AI 시스템의 리스크(ISO/IEC 42001)를 뜻한다면 길이 다릅니다. 그 평가는 ICT 경영시스템 운영의 AI 리스크평가와 AI 영향평가 단계에서 합니다. ICT 표준은 ISO/IEC 42001 과 27001 끼리만 함께 운영하므로 위의 품질·환경·안전보건 구성과는 따로 고릅니다. 사례는 eiso 적용 사례의 AI사진관 편을 보십시오.

우리 회사도 점검해 보십시오

• 같은 공정을 표준마다 따로 평가하고 있습니까?
• 평가표마다 기준(가능성·영향의 단계)이 다릅니까?
• 서로 다른 평가표에 원인이 같은 리스크가 따로 적혀 있습니까?
• 한 조치가 다른 관점의 리스크를 키우는지 평가할 때 확인합니까?
• 조치의 번호가 대장과 운용 단계까지 그대로 이어집니까?
• 공정이나 물질이 바뀔 때 다시 평가합니까?

드는 비용

• 경영시스템 운영 단계의 「AI로 작성」은 누를 때 금액이 안내되고, 동의하면 결제됩니다. 운영 이용권은 표준마다 필요합니다. 금액은 eiso 비용 안내에서 보십시오.

함께 보기

• 원 질문: AI리스크 평가
• 경영시스템 운영 안내
• 리스크평가
• 리스크·기회 대장
• ICT 경영시스템 운영