중요한 단어는 “AI”가 아니라 “경영시스템”이다.

많은 조직은 AI를 기술 프로젝트로 출발 시키는 경향이 있다. 데이터를 모으고 모델을 만들고 성능을 맞추는 것이라고 생각하는 경향이 있다. 그러나 AI는 시간이 지나면 성능이 변하고, 사용 환경이 변하고, 이해 관계자의 기대가 변한다. 더구나 AI는 편의와 효율을 주는 동시에 설명 책임과 위험을 함께 가져온다. 그래서 AI는 “한 번 만들고 끝나는”것이 아니라 “운영하면서 관리해야 하는 체계”가 된다.

경영 시스템은 그 체계를 조직이 반복 가능하게 운영하기 위한 약속의 집합이다.

경영시스템의 핵심은 문서를 많이 만드는 것이 아니라, 의사결정의 기준을 고정하고 기록을 남기는 것이다. 기준이 고정되어야 사람이 바뀌어도 동일한 판단이 반복된다. 기록이 남아야 문제가 생겨도 원인과 조치가 설명되고, 개선이 돌아가야 다음 분기에는 같은 문제가 줄어든다.

ISO/IEC 42001을 “어려운 표준”으로 느끼지 않기를 바란다. 이 표준은 새로운 기술을 강하게 통제하려는 문서가 아니라, 기술과 비즈니스가 함께 책임을 지도록 역할을 정리하는 문서다. 또한 이 표준은 대기업만을 위한 문서가 아니라, AI를 제공하거나 사용하는 모든 조직이 위험과 기회를 균형 있게 관리하도록 설계된 문서다. 특히 중소기업과 빠르게 성장하는 조직이 이 표준을 “운영의 지렛대”로 활용할 수 있다고 본다. 왜냐하면 작은 조직일수록 기준과 기록이 없을 때 의사 결정이 사람에 묶이기 쉽기 때문이다.

ISO/IEC 42001 인증을 준비하는 과정에서 가장 흔한 실패는 “문서만 만들고 운영을 만들지 않는 것”이다. 두 번째 실패는 “운영은 하는데 기록이 남지 않는 것”이다. 세 번째 실패는 “범위가 흔들려서 인벤토리와 리스크가 서로 다른 세계를 가리키는 것”이다.

이 책은 그 세 가지 실패를 막기 위해 존재한다.

0. 용어의 정의

Ⅰ. 착수와 설계 (프로젝트 셋업)
1. ISO 42001이 요구하는 “경영시스템” 사고방식
2. ISO 42001 인증 준비의 전체 흐름
3. AIMS 적용 범위 (Scope) 정하기
4. 추진체계 구성
5. 추진일정(WBS)과 산출물 맵
6. 문서/운영/증적의 차이

Ⅱ 진단 (갭 분석) : 지금 수준을 점수로
1. 갭분석 방법론
2. 갭분석 체크리스트 설계
3. AI 시스템 인벤토리(자산 목록) 만들기
4. 우선순위 결정 프레임
5. 인증 준비 로드맵 예시와 ‘최소 통과 세트’ 정의

Ⅲ 구축 (문서+운영루틴)
1. AI 정책(AI Policy)과 목표·KPI 수립
2. 지원(조직 역량)
3. 운영 통제 ① AI 라이프사이클
4. 운영 통제 ② 변경관리와 릴리즈 게이트
5. 운영 통제 ③ 데이터 관리
6. 운영 통제 ④ 인간감독
7. 운영 통제 ⑤ 모니터링/성능관리
8. 운영 통제 ⑥ 공급망/외주/벤더 관리
9. 운영 통제 ⑦ 사고/이슈/불만 대응
10. 기록(증적) 설계

Ⅳ 리스크·임팩트 평가
1. 리스크 평가 방법론
2. 임팩트 평가
3. 통제선택 설계
4. 리스크 레지스터 운영

Ⅴ 내부심사와 경영검토
1. 내부심사 프로그램
2. 내부심사 수행법
3. 시정조치(CAPA) 닫는 법
4. 경영검토

Ⅵ 심사대응 실전
1. Stage 1(문서심사) 준비
2. Stage 2(현장심사) 준비
3. 부적합 대응 전략
4. 인증 후 운영

부록
A. 템플릿 사용 가이드
B. 내부심사 질문은행과 심사 Q&A 구성법
C. 템플릿 5종