Аудит системы менеджмента качества при использовании искусственного интеллекта: новые рекомендации Группы по аудиторской практике

Использование искусственного интеллекта (ИИ) стремительно становится частью повседневной деятельности организаций. Сегодня алгоритмы машинного обучения анализируют качество продукции, прогнозируют отказы оборудования, взаимодействуют с клиентами, оценивают поставщиков и даже участвуют в разработке новых продуктов.

Для систем менеджмента качества (СМК), построенных на требованиях стандарта ISO 9001, это открывает значительные возможности:

• повышение эффективности процессов;
• снижение количества ошибок;
• ускорение принятия решений;
• улучшение качества продукции и услуг;
• снижение затрат.

Однако одновременно появляются новые риски, которые ранее не учитывались при проведении аудитов:

• некорректные решения алгоритмов;
• ошибки обучающих данных;
• непрозрачность логики принятия решений;
• нарушение требований конфиденциальности;
• потеря контроля над критически важными процессами.

В связи с этим в мае 2026 года группа ISO 9001 APG выпустила специальное руководство по аудиту систем менеджмента качества, использующих технологии искусственного интеллекта.

Документ не вводит новых требований ISO 9001 и не изменяет методологию аудита. Вместо этого он помогает аудиторам правильно оценивать влияние ИИ на процессы организации и учитывать связанные риски и возможности.

Почему тема ИИ становится важной для аудиторов ISO 9001

Если раньше автоматизированные системы выполняли заранее запрограммированные действия, то современные ИИ-системы способны:

• обучаться на данных;
• самостоятельно выявлять закономерности;
• формировать рекомендации;
• генерировать контент;
• принимать решения в рамках заданных параметров.

Именно поэтому аудитору уже недостаточно проверить наличие процедуры или инструкции.

Необходимо понять:

• каким образом ИИ влияет на процесс;
• насколько организация контролирует его работу;
• сохраняется ли соответствие продукции и услуг требованиям;
• существуют ли механизмы управления возникающими рисками.

Основной принцип остается неизменным:

Использование искусственного интеллекта не должно ухудшать способность организации стабильно поставлять продукцию и услуги, соответствующие требованиям потребителей и законодательства.

Где искусственный интеллект может использоваться в СМК

Практически любой процесс системы менеджмента качества сегодня может содержать элементы ИИ.

1. Проектирование и разработка продукции

Современные генеративные модели способны:

• создавать варианты конструкций;
• рассчитывать параметры изделий;
• моделировать характеристики продукции;
• оптимизировать инженерные решения.

Пример:

машиностроительное предприятие использует ИИ для автоматической генерации вариантов конструкции деталей с учетом требований по прочности и стоимости.

В этом случае аудитору необходимо убедиться, что результаты работы алгоритма проходят полноценную верификацию и валидацию.

2. Оценка поставщиков

ИИ может анализировать:

• показатели качества поставок;
• сроки исполнения;
• финансовую устойчивость поставщика;
• историю рекламаций.

На основе этих данных система автоматически присваивает рейтинг поставщикам.

Риск заключается в том, что ошибочные данные могут привести к неправильной оценке надежного поставщика или, наоборот, к одобрению ненадежного контрагента.

3. Взаимодействие с клиентами

Все чаще используются:

• чат-боты;
• интеллектуальные помощники;
• автоматические системы обработки обращений.

Они напрямую влияют на удовлетворенность клиентов.

Если ИИ предоставляет неверную информацию, это становится фактором риска для качества обслуживания.

4. Предиктивное обслуживание оборудования

Алгоритмы анализируют:

• вибрацию;
• температуру;
• уровень нагрузки;
• частоту отказов.

На основании этих данных прогнозируется необходимость ремонта.

Правильно настроенная система позволяет избежать простоев и снизить количество дефектной продукции.

5. Контроль качества

Одна из самых распространенных областей применения ИИ.

Используются:

• системы компьютерного зрения;
• автоматическая сортировка продукции;
• распознавание дефектов.

В ряде случаев точность таких решений превышает возможности человека.

Однако возникает вопрос:

кто подтвердил правильность работы модели и насколько надежны результаты контроля?

6. Производственные процессы

ИИ способен автоматически регулировать:

• режимы работы оборудования;
• параметры технологических процессов;
• последовательность операций.

Цель — снижение вариабельности процесса и повышение стабильности качества.

7. Управление цепочкой поставок

Алгоритмы прогнозируют:

• спрос;
• потребность в запасах;
• риски поставщиков;
• возможные сбои логистики.

8. Обучение персонала

ИИ формирует индивидуальные программы обучения и развития сотрудников.

Это позволяет быстрее устранять пробелы в компетенциях.

9. Управление рисками и соответствием

Современные системы способны отслеживать:

• изменения законодательства;
• требования клиентов;
• внутренние несоответствия;
• отклонения процессов.

Что должен понимать аудитор об ИИ

Согласно рекомендациям APG, аудитор должен понимать, что ИИ-система состоит не только из алгоритма.

Обычно она включает:

Модель ИИ
Машинное обучение, нейронные сети, генеративные модели и другие алгоритмы.

Данные
Используются для обучения и работы модели.
Качество данных напрямую влияет на качество результатов.

Инфраструктуру
Включает:

• серверы;
• программные платформы;
• базы данных;
• средства мониторинга.

Пользовательский интерфейс
Через него сотрудники взаимодействуют с системой и принимают решения на основе ее рекомендаций.

Основные риски использования искусственного интеллекта

Ошибки данных
Принцип:

«Мусор на входе — мусор на выходе».

Если данные некорректны, алгоритм будет выдавать ошибочные результаты.

Алгоритмическая предвзятость
Модель может обучиться на нерепрезентативных данных.

Следствие:

систематические ошибки в принятии решений.

Потеря прозрачности
Во многих случаях невозможно точно объяснить, почему ИИ принял конкретное решение.

Для аудитора это становится серьезной проблемой при оценке обоснованности действий.

Дрейф модели (Model Drift)
Со временем качество работы алгоритма ухудшается.

Причины:

• изменение условий работы;
• новые данные;
• изменение процессов.

Киберугрозы
ИИ становится новой точкой атаки для злоумышленников.

Нарушение конфиденциальности
Особую опасность представляет загрузка корпоративной информации в публичные сервисы ИИ.

В руководстве отдельно подчеркивается необходимость контроля соблюдения прав интеллектуальной собственности и запрета загрузки в открытые ИИ-системы документов, защищенных авторским правом.

Как аудитору оценивать использование ИИ по разделам ISO 9001

Раздел 4. Контекст организации

Аудитор должен выяснить:

• учитывает ли организация риски ИИ;
• зависит ли она от внешних поставщиков ИИ;
• существуют ли законодательные требования к использованию ИИ;
• определены ли заинтересованные стороны, затронутые решениями алгоритмов.

Особое внимание следует уделять требованиям клиентов в части прозрачности и человеческого контроля.

Раздел 5. Лидерство

Высшее руководство должно:

• понимать последствия применения ИИ;
• обеспечивать необходимые ресурсы;
• устанавливать ответственность;
• контролировать этические аспекты применения технологий.

Должны быть определены владельцы:

• • • данных;
    • моделей;
    • процессов обучения;
    • мониторинга;
    • интерпретации результатов.

  </ul class=»stati»>

Раздел 6. Планирование

Организация должна анализировать:

Риски

• • • ошибки алгоритмов;
    • предвзятость;
    • отказ системы;
    • ухудшение качества данных.

Возможности

• • • повышение производительности;
    • улучшение качества продукции;
    • снижение затрат.

Также должны быть предусмотрены планы действий при отказе ИИ-систем.

Раздел 7. Поддержка

Особое внимание уделяется:

Компетентности персонала
Сотрудники должны понимать:

• • • возможности ИИ;
    • ограничения ИИ;
    • риски использования.

Инфраструктуре
Необходимо наличие:

• • • вычислительных ресурсов;
    • систем хранения данных;
    • средств киберзащиты;
    • инструментов мониторинга.

Документированной информации
Следует обеспечивать прослеживаемость:

• • • версий моделей;
    • изменений алгоритмов;
    • используемых данных;
    • решений, принятых на основе ИИ.

Раздел 8. Операционная деятельность

Это один из наиболее важных разделов.

Аудитор должен проверить:

• • • контролируется ли использование ИИ;
    • валидируются ли результаты работы системы;
    • оцениваются ли изменения модели;
    • осуществляется ли человеческий контроль там, где это необходимо.

Особенно это касается решений, связанных с:

• • • выпуском продукции;
    • безопасностью;
    • соблюдением обязательных требований.

Раздел 9. Оценка результативности

Организация должна измерять:

• • • точность работы ИИ;
    • стабильность результатов;
    • влияние на удовлетворенность клиентов;
    • влияние на показатели процессов.

Результаты должны рассматриваться на анализе со стороны руководства.

Раздел 10. Улучшение

Необходимо обеспечивать постоянное совершенствование:

• • • самих ИИ-систем;
    • процессов, которые они поддерживают.

Несоответствия, связанные с работой ИИ, должны расследоваться так же, как любые другие несоответствия в системе менеджмента качества.

Новые требования к компетентности аудиторов

Руководство APG фактически формирует новый профиль аудитора ISO 9001.

Аудитор должен понимать:

Основы искусственного интеллекта

• • • машинное обучение;
    • нейронные сети;
    • генеративный ИИ;
    • предиктивную аналитику.

Управление рисками ИИ

• • • предвзятость моделей;
    • дрейф алгоритмов;
    • киберриски;
    • проблемы прозрачности.

Управление данными

• • • качество данных;
    • целостность данных;
    • происхождение данных;
    • жизненный цикл данных.

Влияние ИИ на процессы
Необходимо оценивать, каким образом ИИ изменяет:

• • • контроль процессов;
    • распределение ответственности;
    • мониторинг;
    • принятие решений.

Законодательные и этические аспекты
Особенно актуальны:

• • • защита персональных данных;
    • информационная безопасность;
    • интеллектуальная собственность;
    • ответственность за решения ИИ.

Практические рекомендации организациям
Компании, использующие искусственный интеллект в рамках СМК, уже сейчас должны:

• • 1. Провести инвентаризацию всех ИИ-систем.
    2. Определить процессы, на которые влияет ИИ.
    3. Выполнить оценку рисков.
    4. Назначить владельцев данных и моделей.
    5. Установить процедуры валидации результатов.
    6. Организовать мониторинг эффективности ИИ.
    7. Включить вопросы ИИ в программу внутренних аудитов.
    8. Обучить сотрудников основам безопасного применения ИИ.
    9. Включить показатели работы ИИ в анализ со стороны руководства.
    10. Обеспечить соблюдение требований по защите интеллектуальной собственности и конфиденциальной информации.

Заключение

Появление рекомендаций ISO 9001 Группы по аудиторской практике по аудиту организаций, использующих искусственный интеллект, является важным этапом развития систем менеджмента качества. Документ подтверждает, что искусственный интеллект становится полноценным элементом бизнес-процессов и объектом аудиторской оценки.

При этом ключевой принцип ISO 9001 остается неизменным: организация должна демонстрировать способность стабильно обеспечивать соответствие продукции и услуг установленным требованиям. Искусственный интеллект может существенно повысить эффективность процессов, однако только при условии надлежащего управления, контроля, валидации и постоянного мониторинга его работы.

Для аудиторов это означает необходимость развития новых компетенций в области цифровых технологий, а для организаций — создание системы управления ИИ, интегрированной в существующую систему менеджмента качества. Именно такой подход позволит использовать преимущества искусственного интеллекта без ущерба для качества, безопасности и доверия потребителей.