Сертификат ISO 22301: система менеджмента непрерывности деятельности

ISO 22301 — международный стандарт на системы менеджмента непрерывности деятельности. Он отвечает на вопрос, что организация будет делать, когда привычная работа прервётся: отказало оборудование, встал склад, лёг центр обработки данных, поставщик сорвал отгрузку, отключили электричество на неделю. Сертификат подтверждает, что у компании есть проверенный порядок действий на такой случай, а не устные договорённости между руководителями.

Спрос на документ идёт от закупок. Банки, операторы связи, промышленные холдинги и ИТ-заказчики всё чаще требуют от поставщика подтверждения, что перебой на его стороне не остановит их собственные процессы.

Какая редакция действует: ISO 22301:2019 и ГОСТ Р ИСО 22301-2021

Годы в обозначениях международного и российского документа не совпадают, из-за чего в запросах встречаются сразу три цифры — 2014, 2019 и 2021. Разберём до того, как заказывать сертификат.

• ISO 22301:2019 — действующая международная редакция, «Безопасность и устойчивость. Системы менеджмента непрерывности деятельности. Требования». Заменила первую версию ISO 22301:2012.
• ГОСТ Р ИСО 22301-2021 — действующий национальный стандарт «Надежность в технике. Системы менеджмента непрерывности деятельности. Требования». Утверждён приказом Росстандарта от 5 октября 2021 года № 1059-ст, введён в действие с 1 января 2022 года, идентичен ISO 22301:2019.
• ГОСТ Р ИСО 22301-2014 — прежняя российская редакция, идентичная ISO 22301:2012. Заменена стандартом 2021 года и в новых сертификатах фигурировать не должна.

Значит, «ГОСТ Р ИСО 22301-2021» и «ISO 22301:2019» — один и тот же текст, российская версия вышла на два года позже международной. Если в коммерческом предложении стоит редакция 2014 года, орган работает по устаревшим шаблонам, и заказчик такой документ может завернуть.

Ещё одна деталь из терминологии: в ГОСТе система называется системой менеджмента непрерывности деятельности, хотя в обиходе говорят «непрерывность бизнеса». В области сертификации формулировку пишут по стандарту.

Что поменялось в редакции 2019 года

Если система строилась по версии 2012 года, документацию придётся дорабатывать. Основные отличия:

• Единая структура стандартов ISO — та же, что у ISO 9001:2015, ISO 14001:2015 и ISO/IEC 27001. Непрерывность встраивается в действующую систему менеджмента без параллельного комплекта документов.
• Снята избыточная детализация. Убраны дублирующие требования к процедурам, у организации стало больше свободы в том, как оформлять систему под свой масштаб.
• Уточнён анализ воздействия на бизнес и оценка рисков — чётче разведены анализ последствий простоя и оценка вероятности угроз.
• Разделены стратегии и решения по непрерывности: сначала выбирается стратегия, затем конкретные меры под неё.

Из чего состоит система непрерывности деятельности

Стандарт не даёт готовых планов — он задаёт порядок, при котором организация сама определяет свои критичные процессы и допустимое время простоя. Что проверяется при сертификации:

• Политика непрерывности деятельности — обязательство руководства и выделенные под него ресурсы.
• Анализ воздействия на бизнес (BIA) — перечень процессов и последствий их остановки во времени: что происходит через час, через сутки, через неделю.
• Целевое время восстановления (RTO) и минимально приемлемый уровень выпуска — сколько процесс может стоять и на каком объёме работы организация обязана удержаться в кризисе.
• Оценка рисков — угрозы, способные вызвать нарушение: аварии, сбои ИТ, потеря площадки, уход ключевого поставщика, отказ инженерных сетей.
• Стратегии и решения — резервная площадка, дублирующее оборудование, второй поставщик, удалённый режим, запас сырья.
• Планы непрерывности и реагирования — кто принимает решение, кого оповещают, в каком порядке восстанавливают процессы, как связываются с заказчиками и надзорными органами.
• Тестирование планов — учения и разборы, без которых план остаётся папкой на полке.
• Внутренний аудит и анализ со стороны руководства — механизм, который не даёт системе заглохнуть.

Больше всего вопросов на аудите вызывают зависимости от поставщиков и подрядчиков. Внутренние процессы описывают почти все, а вот что делать, если встал единственный перевозчик или подрядчик по обслуживанию серверов, продумывают редко.

Кому нужен сертификат ISO 22301

• Участникам тендеров и закупок, где непрерывность заявлена в квалификационных требованиях или даёт баллы;
• ИТ-компаниям, ЦОД, операторам связи — здесь документ спрашивают чаще всего, вместе с ISO 27001;
• финансовому сектору и его подрядчикам — банки транслируют требования по устойчивости на поставщиков;
• логистике и транспорту, где простой сразу бьёт по цепочке клиентов;
• производствам с непрерывным циклом и предприятиям с одной площадкой;
• дочерним компаниям холдингов — по корпоративным стандартам головной организации;
• экспортёрам и участникам международных проектов.

Обязательной сертификация по ISO 22301 не является: законом она не установлена и проводится добровольно. Обязательной её делают договор с заказчиком или условия конкретной закупки.

Чем ISO 22301 отличается от ISO 27001 и ISO 22000

Путаницы две, обе объяснимы. С ISO 27001 — потому что в нём есть меры по непрерывности, но касаются они только информационной безопасности: доступности данных и работоспособности ИТ-сервисов. ISO 22301 шире и охватывает всю деятельность — площадки, персонал, оборудование, поставки. Когда заказчик требует устойчивости от ИТ-подрядчика, обычно спрашивают оба стандарта: 27001 закрывает защиту информации, 22301 — способность продолжать работу.

С ISO 22000 путают из-за близких номеров, хотя тот про безопасность пищевой продукции и к непрерывности отношения не имеет.

Интегрированная система менеджмента

Стандарты построены на общей структуре, поэтому политика, распределение ответственности, управление документированной информацией, внутренние аудиты и анализ со стороны руководства у них пересекаются. Когда часть документации уже есть, добавить ещё один стандарт заметно проще:

• ISO 9001 — качество, базовый стандарт для большинства тендеров;
• ISO 27001 — информационная безопасность, ближайший к 22301 по составу заказчиков;
• ISO 14001 — экологический менеджмент;
• ISO 45001 — охрана труда и безопасность;
• ГОСТ Р ИСО 9001 — если требование заказчика сформулировано через национальный стандарт.

Полный перечень направлений — в разделе сертификация ISO.

С чего начать, если системы ещё нет

• Выпишите критичные процессы — те, остановка которых бьёт по обязательствам перед клиентами, а не все подряд.
• Определите допустимое время простоя по каждому: час, смена, сутки, неделя.
• Составьте карту зависимостей — площадки, оборудование, ИТ-системы, ключевые сотрудники, поставщики и подрядчики.
• Соберите то, что уже написано: инструкции по аварийным ситуациям, планы эвакуации, регламенты резервного копирования. Часть требований стандарта они закрывают.
• Назначьте ответственного с полномочиями останавливать и перезапускать процессы, а не только вести папку с документами.

Дальше подключаемся мы: оформляем это в документацию по требованиям ГОСТ Р ИСО 22301-2021 и готовим систему к оценке соответствия.

Как проходит сертификация

• Заявка и определение области сертификации. Уточняем виды деятельности и площадки, называем стоимость и срок.
• Анализ документов — регистрационные документы организации, сведения о процессах, действующие документы системы менеджмента.
• Подготовка документации — если системы нет. Помогаем разработать политику, анализ воздействия на бизнес, планы непрерывности и порядок их проверки.
• Оценка соответствия требованиям стандарта.
• Выдача сертификата и внесение в реестр. Срок действия — до трёх лет.

Сертификация проводится в системе добровольной сертификации «ПромТехСтандарт» (регистрационный номер РОСС RU.З1391.04ИБФ0). Мы работаем как орган по сертификации напрямую, без цепочки посредников, поэтому сроки короче, а стоимость ниже, чем через агентов.

Как проверить сертификат

Наши сертификаты на системы менеджмента проверяются по QR-коду на бланке в реестре sert-reestr.net. Номер, держатель, срок действия и область сертификации должны совпадать с бумагой. В закупках такую проверку делают регулярно, поэтому документ должен находиться в открытом реестре.

FAQ

ГОСТ Р ИСО 22301-2021 и ISO 22301:2019 — это разные стандарты?

Нет, это один документ. ГОСТ Р ИСО 22301-2021 идентичен международному ISO 22301:2019, разница только в дате принятия российской версии.

Действует ли ГОСТ Р ИСО 22301-2014?

Нет, он заменён стандартом ГОСТ Р ИСО 22301-2021, который введён в действие с 1 января 2022 года. Оформлять сертификат нужно по действующей редакции.

Обязателен ли ISO 22301 по закону?

Нет, сертификация добровольная. Обязательной её делают требования заказчика, условия закупки или корпоративные стандарты холдинга.

Чем ISO 22301 отличается от ISO 27001?

ISO 27001 защищает информацию, ISO 22301 отвечает за способность организации продолжать работу при любом нарушении — от аварии на площадке до срыва поставок. Стандарты дополняют друг друга и часто оформляются вместе.

Нужен ли готовый план непрерывности до подачи заявки?

Не обязательно. Если системы нет, документацию разрабатываем вместе с вами. Сроки короче, когда у организации уже есть перечень критичных процессов и данные о допустимом времени простоя.

Сколько стоит сертификат ISO 22301?

Стоимость зависит от количества площадок, числа процессов в области сертификации и готовности документации. Смету считаем бесплатно и фиксируем в договоре.

На какой срок выдаётся сертификат?

До трёх лет. Область сертификации фиксируется в документе, поэтому формулировать её стоит с учётом площадок и видов деятельности, которые вы планируете заявлять в закупках.