ГОСТ Р ИСО 22301-2014: система менеджмента непрерывности бизнеса и защита от рисков

Система менеджмента непрерывности деятельности (СМНД) отвечает на вопрос, что компания делает, когда ключевой процесс останавливается: авария, сбой ИТ-систем, срыв поставок, потеря площадки. Сертификация добровольная — обязательной её делает требование заказчика. Важное уточнение: редакция 2014 года заменена, действует ГОСТ Р ИСО 22301-2021.

Какая редакция стандарта действует

Действующий документ — ГОСТ Р ИСО 22301-2021 «Надежность в технике. Системы менеджмента непрерывности деятельности. Требования». Он утверждён приказом Росстандарта от 05.10.2021 № 1059-ст, введён в действие с 1 января 2022 года и идентичен международному ISO 22301:2019.

Редакция ГОСТ Р ИСО 22301-2014 «Системы менеджмента непрерывности бизнеса. Общие требования» (идентична ISO 22301:2012) заменена, ссылаться на неё в документации системы уже нельзя. Если в закупке указан «ГОСТ Р ИСО 22301-2014», уточните у заказчика: как правило, имеется в виду действующая редакция.

В версии 2019 года требования стали компактнее, убраны дублирования, чётче разведены анализ влияния на деятельность и оценка рисков, уточнены формулировки по проверке (тестированию) планов.

Какой документ подтверждает СМНД

Результат — сертификат соответствия СМНД. Его выдают организации на заявленную область: процессы, услуги, площадки. Объект оценки — управление, а не продукция, поэтому знак соответствия на изделия по такому сертификату не наносится.

Где выдан	Что это значит
Орган в национальной системе аккредитации	Аккредитацию предоставляет Росаккредитация, орган проверяется в реестре pub.fsa.gov.ru/ral
Орган в системе добровольной сертификации (СДС)	СДС регистрирует Росстандарт. Работаем в СДС «Эконорма» и «Промтехсертификация»

Силу документу даёт запись в реестре выдавшего органа, а не бланк. Срок действия — три года: требование ГОСТ Р ИСО/МЭК 17021-1-2017 к органам по сертификации систем менеджмента. Обязательное подтверждение соответствия вводится только техрегламентами (Федеральный закон № 184-ФЗ), поэтому сертификация СМНД добровольна.

Что смотрит аудитор по разделам стандарта

Испытаний здесь нет — оценивают документы, процессы и записи. Аудит идёт в два этапа.

• Разделы 4–5. Область применения СМНД, требования заинтересованных сторон, политика непрерывности, роли и полномочия при нарушении работы.
• Раздел 6. Цели в области непрерывности и планы их достижения.
• Раздел 7. Компетентность и обучение персонала, оповещение работников и внешних сторон, управление документированной информацией.
• Раздел 8. Ядро стандарта: анализ влияния на деятельность (BIA) с определением критичных процессов и допустимых сроков восстановления, оценка рисков нарушения работы, стратегии и решения по непрерывности, планы реагирования и восстановления, программа проверки и тестирования этих планов.
• Разделы 9–10. Мониторинг и измерения, внутренние аудиты, анализ со стороны руководства, работа с несоответствиями и улучшение.

Из записей запрашивают материалы BIA с обоснованием сроков восстановления, планы непрерывности с ответственными и порядком оповещения, отчёты о тестировании планов, журнал происшествий. План, который ни разу не тестировали, обычно и становится значительным несоответствием — его закрывают до выдачи сертификата.

Документы от заявителя

• заявка с областью сертификации: процессы, услуги, адреса площадок, численность;
• устав, ИНН, ОГРН, коды по ОКВЭД, организационная структура;
• политика и цели в области непрерывности деятельности;
• перечень критичных процессов и результаты анализа влияния на деятельность;
• оценка рисков нарушения работы и меры по их обработке;
• планы непрерывности и восстановления, схемы оповещения, договоры с резервными поставщиками;
• записи за отработанный период: тестирование планов, обучение, внутренние аудиты, анализ со стороны руководства.

Сертифицировать можно только работающую систему: нужны записи за реальный период, а не комплект, собранный накануне проверки.

Порядок оформления

1. Заявка и область сертификации: процессы, площадки, численность — от этого зависит трудоёмкость аудита.
2. Диагностика: что уже соответствует стандарту, чего не хватает; при необходимости — разработка документации.
3. Первый этап аудита — анализ документации и готовности к оценке на площадке.
4. Второй этап — аудит на месте: интервью с владельцами процессов, проверка планов и записей о тестировании.
5. Устранение несоответствий и подтверждение корректирующих действий.
6. Решение о выдаче, оформление сертификата и внесение сведений в реестр органа или СДС.

Дальше — цикл поддержания: не реже раза в календарный год (кроме года ресертификации) орган проводит инспекционный контроль, на третий год проходит ресертификация.

Ответственность

Статьи 14.43–14.45 КоАП РФ относятся к обязательному подтверждению соответствия продукции техрегламентам и к добровольному сертификату на систему менеджмента не применяются. Риски здесь другие:

• Приостановка и аннулирование сертификата — при непрохождении инспекционного контроля или неустранённых значительных несоответствиях;
• Отклонение заявки в закупке — если документ не подтверждается в реестре выдавшего органа либо его область не покрывает предмет закупки;
• Ссылка на устаревшую редакцию — сертификат, оформленный на ГОСТ Р ИСО 22301-2014, заказчик вправе не принять как подтверждение соответствия действующему стандарту.