경영검토 입력(이전 경영검토 후속조치, 내·외부 이슈 변화, AI 방침·목표 달성도, AI 성과·모니터링, 리스크·영향평가 변화, 인시던트, 9 내부심사·10 준수평가 결과, 시정조치 현황, 이해관계자·법규 변화, 자원의 적절성, 개선 기회)을 정리해 최고경영자의 결정·자원·변경을 끌어냅니다. 결정사항 가운데 부적합은 12 시정조치로, 개선 과제는 13 개선으로 넘깁니다.
결과물
- 경영검토 입력 요약(1쪽) — 9 내부심사·10 준수평가 결과와 시정조치 현황 포함
- 경영검토 출력 — 결정·자원·변경(리스크평가·영향평가·적용명세서 갱신 결정 포함)과 결정사항 추적표
- 입력자료 안내·체크리스트(준비됨 Y/N·증거·결정 필요사항)·회의 진행·결과보고서(회의 기록으로)
- 출력 세 갈래 — 시정조치(→ 12) · 차기년도 사업계획 반영 · 교육훈련(→ 13)과 후속조치 관리대장
적용범위별로 이 단계에서 할 일
| 개발 | 공급 | 사용 |
|---|---|---|
| 개발 성과·결함·재학습 결정 | 고객 불만·사고·시장 피드백과 제공 조건 개선 | 사용 효과·사고·공급자 평가와 사용 범위 조정 |
경영검토 운영 방법
ISO/IEC 42001 9.3 은 최고경영자가 계획된 주기로 AI 경영시스템의 지속적인 적절성·충족성·효과성을 검토하도록 요구합니다. 입력 자료를 모아(9.3.2) 회의에서 검토하고, 결정(9.3.3)은 시정조치 · 차기년도 사업계획 반영 · 교육훈련 세 갈래로 모아 12 시정조치·13 개선과 차기 경영검토로 추적합니다.
주기·준비·진행
- 정기 최소 연 1회 — 수시: 중대한 법규 변화·중대 인시던트·조직·사업의 중대한 변경·인증심사 전
- AI 담당 부서가 2주 전쯤 일정·의제를 정해 최고경영자 승인 → 참석자에게 통보, 입력 자료 준비(아래 "경영검토 입력 자료 지정"으로 폴더·파일 지정)
- 방식 — 대면·화상 회의, 또는 부문별 부분 검토 뒤 최고경영자에게 종합 보고. 다른 경영시스템과 함께 열면 AI 경영시스템 의제·기록을 구분
- 진행 — 개회 → 입력 항목 검토 → 논의 → 결정 → 폐회, 회의록에 조치항목을 눈에 띄게 표시하고 책임자·기한·필요 자원
9.3.2 입력 항목 — 누락은 "미비"로
| 입력 항목 | 볼 것 | 연결 단계 |
|---|---|---|
| 이전 경영검토 후속조치 상태 | 처음이면 "해당 없음", 미이행은 계속 조치로 | 이전 회의록 |
| 내·외부 이슈의 변화 | AI 규제·기술·조직·사업 전략 변화 | 1 AI 상황분석 |
| 이해관계자의 요구·기대 변화 | 고객·규제기관·임직원·AI 공급자 피드백, 준수의무 변화 | 1 · 10 법규파악·모니터링 |
| 부적합 및 시정조치 현황(추세) | 건수·추세·재발, 미완료 조치 | 12 시정조치 |
| 모니터링·측정 결과(추세) | AI 사용 현황·오류율·성능 저하·KPI | 8 모니터링 |
| 내부·외부 심사 결과 | 부적합·관찰·우수사항 | 9 내부심사 |
| AI 목표 달성도 | 목표·실적·달성/미달과 원인 | 13 개선 |
| AI 리스크평가·영향평가 결과의 변화 | 고위험 과제 변화, 새 리스크 | 4 · 5 |
| AI 인시던트와 재발 방지 | 중대 인시던트·조치 | 8 · 12 |
| 외부 공급자 성과 | 공급자 평가·계약 이행·약관 변경 | 6 · 10 |
| 자원의 적절성 | 인력·예산·도구·컴퓨팅·역량 | 6 통제 |
| 리스크·기회 조치의 효과성 | 처리 계획 이행·잔여 리스크 | 4 리스크평가 |
| 지속적 개선 기회 | 제안·관찰·개선 권고 | 13 개선 |
출력 — 세 갈래
| 갈래 | 담는 것 | 넘길 곳 |
|---|---|---|
| 시정조치 | 부적합·미흡사항의 원인 제거 — 담당·기한·검증 | 12 시정조치 |
| 차기년도 사업계획 반영 | 예산·자원·시스템 투자·조직, AI 방침·AI 목표 개정 | 13 개선 · 다음 해 1 상황분석 |
| 교육훈련 | 역량·인식 제고를 위한 교육·훈련 계획 | 6 통제(역량)·8 인식 교육 |
판단 관점
적절성(목적·AI 방침·AI 목표에 맞고 자원으로 성과를 유지) · 충족성(42001·이해관계자·법규 요구를 충족하기에 충분) · 효과성(AI 목표 달성·리스크 처리 등 의도한 결과) · 전략 연계(사업 전략에 통합).
책임(예) — 계획·입력 준비·회의록: AI 담당 부서 / 주재·결정·승인: 최고경영자 / 조치 이행: 부서장.
ISO/IEC 42001 9.3 과 실제 고객사 운영 사례(경영검토 절차·계획·보고서)에서 방법만 일반화했습니다(회사 이름·결과는 싣지 않음).
이어지는 단계
앞 단계: 1 AI 상황분석 · 4 AI 리스크평가 · 8 모니터링·변경·개정관리 · 9 내부심사 · 10 법규파악 및 모니터링 · 이 단계의 결과는 다음에 이어 씁니다: 12 시정조치 · 13 개선
