Noutăți & Resurse

Odată cu adoptarea rapidă a sistemelor bazate pe inteligență artificială în mediul de afaceri, nevoia unui cadru internațional de guvernanță AI a devenit evidentă. ISO 42001:2023 răspunde exact acestei nevoi — este primul standard internațional care specifică cerințele pentru un Sistem de Management al Inteligenței Artificiale (SMAI).

Ce reglementează ISO 42001?

Standardul se adresează organizațiilor care dezvoltă, furnizează sau utilizează sisteme AI. Nu este un standard tehnic — nu specifică algoritmi sau arhitecturi. Este un standard de management: guvernanță, politici, evaluarea riscurilor, obiective și îmbunătățire continuă — aplicate specific contextului AI.

• Stabilirea politicilor și obiectivelor pentru utilizarea responsabilă a AI
• Evaluarea impactului AI asupra persoanelor și societății
• Gestionarea riscurilor specifice sistemelor AI (bias, opacitate, dependență de date)
• Asigurarea transparenței și explicabilității deciziilor AI
• Definirea rolurilor și responsabilităților în ciclul de viață AI

Cui se adresează?

Oricărei organizații care integrează AI în produse, servicii sau procese interne — de la startup-uri tech la companii industriale care adoptă sisteme de inspecție automatizată sau predicție a defecțiunilor.

În România, reglementările europene privind AI (EU AI Act) fac ca implementarea ISO 42001 să devină un avantaj competitiv clar și, pentru anumite categorii de sisteme AI, o cerință de facto. Atlas Consult oferă servicii complete de implementare ISO 42001 — contactați-ne pentru o evaluare inițială gratuită.

Comitetul tehnic ISO/TC 176 lucrează la o nouă versiune a standardului de management al calității. Deși publicarea oficială este anticipată pentru 2025-2026, documentele de lucru circulante ne oferă o imagine clară asupra direcției de revizuire.

Ce rămâne neschimbat

Structura de înalt nivel (HLS/Annex SL) este păstrată, ceea ce menține compatibilitatea cu ISO 14001, ISO 45001 și ISO 27001. Cerințele de bază privind orientarea spre client, îmbunătățirea continuă și abordarea bazată pe risc rămân fundamentale.

Ce se modifică

• Clarificări privind cunoașterea organizațională — accent mai puternic pe gestionarea cunoștințelor ca resursă strategică
• Cerințe extinse privind furnizorii externi și lanțul de aprovizionare
• Integrarea explicită a conceptelor de reziliență și adaptabilitate
• Cerințe mai clare privind transformarea digitală și procesele automatizate
• Actualizarea terminologiei pentru a reflecta realitățile economiei actuale

Cum să te pregătești

Organizațiile certificate în prezent au la dispoziție o perioadă de tranziție de minim 3 ani de la publicarea oficială. Recomandarea noastră: nu așteptați — o revizuire a sistemului de management actual în lumina modificărilor anticipate va identifica oportunități de îmbunătățire indiferent de calendarul oficial al tranziției.

Mulți manageri tratează auditul de supraveghere anual ca pe o formalitate — și ajung să piardă certificarea sau să primească neconformități majore care costă timp și bani. Iată lista noastră practică de verificare, construită din experiența a sute de audituri de supraveghere.

Cu 3 luni înainte

• Verificați că toate documentele obligatorii sunt actualizate (proceduri, instrucțiuni, înregistrări)
• Rulați un audit intern complet — nu doar o trecere în revistă superficială
• Analizați indicatorii de performanță: sunt obiectivele atinse? Dacă nu, există dovezi ale acțiunilor corective?
• Verificați că toate neconformitățile din auditul anterior au acțiuni corective închise cu dovezi

Cu o lună înainte

• Realizați analiza de management — aceasta este o cerință obligatorie și auditorii o verifică întotdeauna
• Asigurați-vă că înregistrările de formare și competență sunt la zi pentru tot personalul relevant
• Verificați că lista furnizorilor evaluați este actualizată
• Pregătiți o sinteză a reclamațiilor clienților și a modului în care au fost rezolvate

Cu o săptămână înainte

Informați personalul cheie despre data și agenda auditului. Un auditor poate intervieva orice angajat — toți trebuie să știe care sunt politica de calitate și obiectivele relevante postului lor. Nu memorare, ci înțelegere reală a rolului în sistem.

Pandemia din 2020-2022 a demonstrat brutal că organizațiile fără planuri de continuitate nu știu să funcționeze în crize. Cyberattack-urile, dezastrele naturale și instabilitatea geopolitică au transformat continuitatea business dintr-un subiect de nișă într-o prioritate strategică.

Ce este ISO 22301?

ISO 22301 specifică cerințele pentru un Sistem de Management al Continuității Business (SMCB). Organizează procesul de identificare a amenințărilor, evaluare a impactului potențial și construire a capacității de răspuns și recuperare.

Elementele cheie ale unui SMCB

• Business Impact Analysis (BIA) — identificarea proceselor critice și a timpilor maximi de întrerupere acceptabili
• Planuri de continuitate business pentru scenariile de risc prioritare
• Planuri de recuperare în caz de dezastru (IT și non-IT)
• Proceduri de comunicare în criză — intern și extern
• Exerciții și teste periodice ale planurilor

ISO 22301 se integrează natural cu ISO 27001 (care include cerințe similare pentru IT) și cu ISO 9001. O implementare integrată reduce semnificativ volumul de muncă și produce un sistem mai coerent. Contactați-ne dacă doriți o evaluare a maturității continuității business în organizația dumneavoastră.

Una dintre cele mai frecvente întrebări pe care le primim: „Dacă suntem conformi cu GDPR, mai avem nevoie de ISO 27001?" Răspunsul scurt este da — dar cele două nu se suprapun, ci se completează. Înțelegerea diferenței vă economisește resurse și creează o conformitate mai solidă.

Ce acoperă fiecare

GDPR este o reglementare legală care se concentrează pe drepturile persoanelor fizice și obligațiile operatorilor de date. Se referă la CE date colectați, DE CE și CUM le protejați. ISO 27001 este un standard de management care se referă la CUM construiți un sistem sistematic de protecție a tuturor activelor informaționale — nu doar a datelor personale.

Punctele de convergență

• Evaluarea riscurilor — ambele cer analiza riscurilor pentru informații; un singur exercițiu poate servi ambele scopuri
• Managementul incidentelor — procedurile de notificare a breșelor din GDPR se aliniază cu cerințele ISO 27001
• Controale tehnice și organizatorice — Anexa A din ISO 27001 acoperă direct majoritatea măsurilor tehnice cerute de GDPR
• Conștientizarea personalului — formarea privind securitatea datelor servește ambele cadre

Recomandarea practică

Dacă organizația are deja un program GDPR robust, implementarea ISO 27001 devine semnificativ mai ușoară — și mai ieftină. Estimăm o reducere de 30-40% a efortului total față de o implementare ISO 27001 pornind de la zero. Invers, ISO 27001 oferă structura sistemică care face conformitatea GDPR mai ușor de demonstrat în fața autorităților.

Înainte de a lansa orice proiect de certificare ISO, un singur instrument poate face diferența dintre succes și eșec: analiza diagnostic (gap analysis). Este evaluarea sistematică a distanței dintre situația actuală a organizației și cerințele standardului vizat.

Ce produce un gap analysis corect

• O hartă clară a cerințelor deja îndeplinite (uneori mai multe decât se așteaptă organizația)
• Lista exactă a decalajelor — ce lipsește sau nu este conform
• O estimare realistă a efortului și timpului necesar implementării
• Un plan de proiect cu priorități — ce se face mai întâi pentru impact maxim
• Identificarea riscurilor specifice proiectului de certificare

Cât durează și ce implică

Un gap analysis pentru ISO 9001 sau ISO 14001 durează de obicei 2-5 zile de lucru efectiv, incluzând interviuri cu managementul și personalul cheie, analiza documentelor existente și observarea proceselor.

Atlas Consult oferă gap analysis ca serviciu independent — fără obligația de a continua cu implementarea cu noi. Raportul final este al organizației, indiferent de ce decide în continuare. Credem că o evaluare onestă este mai valoroasă decât o promisiune de certificare rapidă.

Implementarea simultană a ISO 9001 (calitate) și ISO 45001 (sănătate și securitate ocupațională) este o strategie tot mai populară. Când este făcută corect, produce un sistem coerent, mai ușor de menținut și care aduce beneficii operaționale reale. Când este grăbită sau prost planificată, poate crea confuzie și documente care nu deservesc niciunul dintre standarde.

Avantajele unui sistem integrat

• Reducerea cu 30-40% a volumului de documentație față de două sisteme separate
• Un singur calendar de audituri interne și externe
• Politică unică, obiective integrate, analiză de management comună
• Mesaj coerent pentru angajați — calitate și securitate ca valori complementare, nu competing
• Cost total de implementare și menținere mai mic

Capcanele de evitat

• Fuzionarea forțată a unor cerințe care au logici diferite — identificarea pericolelor SSO nu se face la fel cu analiza riscurilor de calitate
• Echipe separate pentru calitate și SSO fără coordonare — sistemul integrat pe hârtie, separat în realitate
• Audituri interne conduse de persoane care nu înțeleg ambele standarde
• Neglijarea cerințelor specifice ISO 45001 privind consultarea și participarea lucrătorilor

Recomandarea noastră: integrarea totală are sens pentru organizații cu peste 50 de angajați. Sub această dimensiune, un sistem de referință comun cu proceduri specifice fiecărui standard este mai pragmatic.