경영검토 입력(이전 경영검토 후속조치, 내·외부 이슈 변화, AI 방침·목표 달성도, AI 성과·모니터링, 리스크·영향평가 변화, 인시던트, 10 내부심사·11 법규파악·모니터링 결과, 시정조치 현황, 이해관계자·법규 변화, 자원의 적절성, 개선 기회)을 정리해 최고경영자의 결정·자원·변경을 끌어냅니다. 결정사항 가운데 부적합은 13 시정조치로, 개선 과제는 14 개선으로 넘깁니다.
결과물
- 경영검토 입력 요약(1쪽) — 10 내부심사·11 법규파악·모니터링 결과와 시정조치 현황 포함
- 경영검토 출력 — 결정·자원·변경(리스크평가·영향평가·적용명세서 갱신 결정 포함)과 결정사항 추적표
- 입력자료 안내·체크리스트(준비됨 Y/N·증거·결정 필요사항)·회의 진행·결과보고서(회의 기록으로)
- 출력 세 갈래 — 시정조치(→ 13) · 차기년도 사업계획 반영 · 교육훈련(→ 6·9)과 후속조치 관리대장
적용범위별로 이 단계에서 할 일
| 개발 | 공급 | 사용 |
|---|---|---|
| 개발 성과·결함·재학습 결정 | 고객 불만·사고·시장 피드백과 제공 조건 개선 | 사용 효과·사고·공급자 평가와 사용 범위 조정 |
경영검토 운영 방법
ISO/IEC 42001 9.3 은 최고경영자가 계획된 주기로 AI 경영시스템의 지속적인 적절성·충족성·효과성을 검토하도록 요구합니다. 입력 자료를 모아(9.3.2) 회의에서 검토하고, 결정(9.3.3)은 시정조치 · 차기년도 사업계획 반영 · 교육훈련 세 갈래로 모아 13 시정조치·14 개선과 차기 경영검토로 추적합니다.
주기·준비·진행
- 정기 최소 연 1회 — 수시: 중대한 법규 변화·중대 인시던트·조직·사업의 중대한 변경·인증심사 전
- AI 담당 부서가 2주 전쯤 일정·의제를 정해 최고경영자 승인 → 참석자에게 통보, 입력 자료 준비(아래 "경영검토 입력 자료 지정"으로 폴더·파일 지정)
- 방식 — 대면·화상 회의, 또는 부문별 부분 검토 뒤 최고경영자에게 종합 보고. 다른 경영시스템과 함께 열면 AI 경영시스템 의제·기록을 구분
- 진행 — 개회 → 입력 항목 검토 → 논의 → 결정 → 폐회, 회의록에 조치항목을 눈에 띄게 표시하고 책임자·기한·필요 자원
9.3.2 입력 항목 — 누락은 "미비"로
| 입력 항목 | 볼 것 | 연결 단계 |
|---|---|---|
| 이전 경영검토 후속조치 상태 | 처음이면 "해당 없음", 미이행은 계속 조치로 | 이전 회의록 |
| 내·외부 이슈의 변화 | AI 규제·기술·조직·사업 전략 변화 | 1 AI 상황분석 |
| 이해관계자의 요구·기대 변화 | 고객·규제기관·임직원·AI 공급자 피드백, 준수의무 변화 | 1 · 11 법규파악·모니터링 |
| 부적합 및 시정조치 현황(추세) | 건수·추세·재발, 미완료 조치 | 13 시정조치 |
| 모니터링·측정 결과(추세) | AI 사용 현황·오류율·성능 저하·KPI | 8 운용관리·9 모니터링 |
| 내부·외부 심사 결과 | 부적합·관찰·우수사항 | 10 내부심사 |
| AI 목표 달성도 | 목표·실적·달성/미달과 원인 | 14 개선 |
| AI 리스크평가·영향평가 결과의 변화 | 고위험 과제 변화, 새 리스크 | 4 · 5 |
| AI 인시던트와 재발 방지 | 중대 인시던트·조치 | 9 · 13 |
| 외부 공급자 성과 | 공급자 평가·계약 이행·약관 변경 | 6 · 11 |
| 자원의 적절성 | 인력·예산·도구·컴퓨팅·역량 | 6 통제 |
| 리스크·기회 조치의 효과성 | 처리 계획 이행·잔여 리스크 | 4 리스크평가 |
| 지속적 개선 기회 | 제안·관찰·개선 권고 | 14 개선 |
출력 — 세 갈래
| 갈래 | 담는 것 | 넘길 곳 |
|---|---|---|
| 시정조치 | 부적합·미흡사항의 원인 제거 — 담당·기한·검증 | 13 시정조치 |
| 차기년도 사업계획 반영 | 예산·자원·시스템 투자·조직, AI 방침·AI 목표 개정 | 14 개선 · 다음 해 1 상황분석 |
| 교육훈련 | 역량·인식 제고를 위한 교육·훈련 계획 | 6 통제(역량)·9 인식 교육 |
판단 관점
적절성(목적·AI 방침·AI 목표에 맞고 자원으로 성과를 유지) · 충족성(42001·이해관계자·법규 요구를 충족하기에 충분) · 효과성(AI 목표 달성·리스크 처리 등 의도한 결과) · 전략 연계(사업 전략에 통합).
책임(예) — 계획·입력 준비·회의록: AI 담당 부서 / 주재·결정·승인: 최고경영자 / 조치 이행: 부서장.
ISO/IEC 42001 9.3 과 실제 고객사 운영 사례(경영검토 절차·계획·보고서)에서 방법만 일반화했습니다(회사 이름·결과는 싣지 않음).
이어지는 단계
앞 단계: 1 AI 상황분석 · 4 AI 리스크평가 · 8 운용관리 · 9 모니터링·변경·개정관리 · 10 내부심사 · 11 법규파악 및 모니터링 · 이 단계의 결과는 다음에 이어 씁니다: 13 시정조치 · 14 개선
