AI管理体系与ISO 27001、ISO 9001的关系：能不能整合运行

很多企业已经持有质量或信息安全的管理体系证书，在考虑AI管理体系时会问：是不是要在原有体系之外再建一套。答案是可以在原有基础上扩展，但扩展的方式需要设计。本文说明三者之间的关系与整合的实际做法。

一、三者管的事情不一样

质量管理体系管的是产品与服务的符合性，关注过程稳定、顾客满意与持续改进。信息安全管理体系管的是信息的保密性、完整性与可用性，关注资产的保护与控制措施。AI管理体系管的是AI系统在整个生命周期中对个人、群体与社会的影响，关注风险、伦理、透明与人的监督。

三者的落点不同，因此不能互相替代。企业信息安全做得再好，也无法回答训练数据是否存在偏见、模型输出错误的追溯路径是否清晰、算法变更是否经过影响评估。反过来，AI治理做得完整，也不能替代对信息资产的安全保护。

二、为什么可以整合

因为它们共享同一套管理体系骨架。高阶结构让三者的章节框架一致，都包含组织环境、领导作用、策划、支持、运行、绩效评价与改进。文件控制、记录管理、内审、管理评审、不符合与纠正措施这些通用机制，在三个体系里的运作方式基本相同。因此可以共用一套文件控制程序、一套内审与管评机制，只在专有领域分别展开。

标准在附录中也说明了这种整合关系，明确AI管理体系与信息安全、隐私、质量管理等体系的衔接方式，并提示了部分内容存在借鉴关系。这为企业整合运行提供了依据。

三、整合的实际做法

一是共用一级与通用二级文件。手册或体系总纲可以统一，文件控制、记录控制、内审程序、管理评审程序、纠正措施程序、培训与能力程序、采购与供方管理程序都可以共用，避免同一件事写三遍。

二是专有部分分别展开。信息安全保留风险评估、资产清单、访问控制、事件管理等专有内容；AI管理单独建立AI系统清单、AI风险评估、AI系统影响评估、数据治理、模型变更、日志与透明信息提供等专有内容。这些专有内容不要试图用信息安全的风险矩阵直接套用。

三是机制层面打通。内审可以合并组织，一次内审覆盖多个标准的条款，但检查表要按标准分别设计，避免用信息安全的检查表去查AI条款。管理评审的输入可以合并收集，输出中对各体系的改进事项分别跟踪。不符合与纠正措施可以共用一个台账，按体系标注来源。

四是职责分配要明确。AI治理通常需要业务、技术、法务、信息安全、人力资源多方参与，与信息安全的管理团队可能部分重叠但职责不完全相同。管理层对AI管理体系的绩效负责，这一点与其它体系一致，但在AI场景下更需要明确谁来审批模型上线的风险结论。

四、整合时容易出问题的地方

一类问题是范围混用。把信息安全体系的边界当成AI管理体系的边界，结果关键AI系统落到范围之外，或者把不在范围内的活动拉进来，审核时找不到证据。

二类问题是方法套用。直接沿用信息安全的风险评估方法处理AI风险，没有引入影响评估的视角，忽略了对个人与群体的影响。标准要求的是风险评估与影响评估两个动作并行，前者关注组织目标的实现，后者关注AI系统带来的社会与个体影响。

三类问题是运行两张皮。体系文件写得很完整，但日常业务照旧，模型照样上线、数据照样采集，没有经过审批与评估。整合运行的检验标准不是文件数量，而是业务动作是否真的按体系走了。

五、整合的收益

整合运行的好处是显而易见的。文件数量减少，员工抵触降低；内审与管评合并，管理成本下降；多标准的证据互用，认证审核的准备量减少；还有一点是体系之间不再互相矛盾，员工面对一套要求而不是三套说法。

如果企业已持有其它管理体系证书，正在考虑是否以及如何引入AI管理体系，厦门格略咨询可结合现有体系的运行基础，设计整合方案与实施路径，避免重复建设。

厦门格略咨询，企业资质一站式服务平台。13年专业咨询公司，3000+服务案例累计；服务内容：各类ISO体系辅导，CMMI、CCRC、ITSS、ISO27001、ISO20000、FSC、IATF16949、EcoVadis评级、ISO22000等辅导，各类补贴项目申报。

地址:厦门火炬高新区软件园三期集美大道1997号608室

联系电话：0592-6270869

公司官网：www.fjgelue.com