ГОСТ Р ИСО 28002: руководство по применению системы менеджмента устойчивости цепи поставок

Действующее обозначение — ГОСТ Р ИСО 28002-2019 «Системы менеджмента безопасности цепи поставок. Устойчивость цепи поставок. Требования и руководство по применению». Слово «руководство» в названии часто вводит в заблуждение: требования в стандарте есть, поэтому сертификация по нему проводится — в отличие от документов вроде ГОСТ Р ИСО 26000, где требований нет вовсе.

Какое обозначение действует и что с международной основой

ГОСТ Р ИСО 28002-2019 утверждён приказом Росстандарта от 23.12.2019 № 1434-ст и введён в действие с 1 июля 2020 года. По данным Росстандарта стандарт действует, заменяющего документа не имеет. Он идентичен международному ISO 28002:2011.

Важная деталь для тех, кому нужен именно международный документ: ISO 28002:2011 отозван (withdrawn). Серию переработали — в 2022 году вышел ISO 28000:2022, куда вопросы устойчивости вошли составной частью. Российский стандарт при этом действует самостоятельно, сертификация по нему в СДС возможна. Если требование исходит от зарубежного контрагента, уточните, какой документ он ждёт.

Смежные стандарты серии: ГОСТ Р ИСО 28000-2019 «Технические условия для систем менеджмента безопасности цепи поставок» (приказ от 23.12.2019 № 1432-ст) — базовые требования, и ГОСТ Р ИСО 28004-1-2019 — руководящие указания по внедрению, по которым не сертифицируют.

Какой документ подтверждает систему

Результат — сертификат соответствия системы менеджмента устойчивости цепи поставок на заявленную область: площадки, направления закупок, категории поставщиков. Объект оценки — управление, а не продукция, поэтому знак соответствия на товары по такому сертификату не наносится.

Сертификат выдаёт либо орган в национальной системе аккредитации (проверяется в реестре pub.fsa.gov.ru/ral), либо орган в системе добровольной сертификации, зарегистрированной Росстандартом. Мы работаем в СДС «Эконорма» и «Промтехсертификация». Силу документу даёт запись в реестре выдавшего органа, а не бланк.

Процедура добровольная: обязательное подтверждение соответствия вводят только технические регламенты (ст. 21 Федерального закона № 184-ФЗ). Обязательным сертификат делает требование заказчика в закупке. Срок действия — три года, это требование ГОСТ Р ИСО/МЭК 17021-1-2017.

Что смотрит аудитор по разделам стандарта

Испытаний в этой процедуре нет — оценивают документы, процессы и записи. Аудит проходит в два этапа.

• Область и политика. Границы цепи поставок: площадки, склады, перевозчики, поставщики первого уровня. Политика устойчивости, утверждённая руководством.
• Оценка рисков и угроз. Ядро стандарта: перечень сценариев нарушения поставок, оценка последствий и вероятности, критичные поставщики и узкие места, зависимость от единственного источника.
• Планирование и ресурсы. Цели, ответственные, компетентность персонала, порядок обмена информацией с контрагентами.
• Готовность и реагирование. Планы действий при срыве поставок, альтернативные маршруты и поставщики, порядок эскалации, проверка планов учениями.
• Оценка результативности. Показатели по срывам и восстановлению, разбор инцидентов, внутренние аудиты, анализ со стороны руководства, корректирующие действия.

Частое значительное несоответствие: реестр рисков составлен, но планы реагирования ни разу не проверялись, а критичные поставщики не ранжированы — подтвердить работоспособность системы нечем.

Документы от заявителя

• заявка с областью сертификации: площадки, направления закупок, численность;
• устав, ИНН, ОГРН, коды по ОКВЭД, оргструктура;
• политика и цели в области устойчивости цепи поставок;
• схема цепи поставок и перечень ключевых поставщиков и перевозчиков;
• реестр рисков и угроз с оценкой последствий;
• планы реагирования и восстановления, порядок эскалации;
• записи за отработанный период: разбор инцидентов, результаты проверок планов, внутренние аудиты, анализ со стороны руководства.

Сертифицируют работающую систему: нужны фактические записи хотя бы за один отработанный цикл.

Порядок оформления

1. Заявка и согласование области сертификации — от неё зависит трудоёмкость аудита.
2. Диагностика: что уже закрыто закупочными регламентами и планами непрерывности, а что дорабатывается.
3. Оценка рисков цепи поставок, разработка политики, целей и планов реагирования, обучение ответственных.
4. Первый этап аудита — анализ документации и готовности к оценке.
5. Второй этап — аудит на месте: интервью с закупками и логистикой, проверка записей по инцидентам.
6. Устранение несоответствий, решение о выдаче, запись в реестре органа или СДС.

Дальше цикл поддержания: инспекционный контроль не реже раза в календарный год (кроме года ресертификации), на третий год — ресертификация. Срок работ зависит от размера цепи поставок и готовности документации, его определяют после диагностики.

Ответственность

Статьи 14.43–14.45 КоАП РФ относятся к обязательному подтверждению соответствия продукции техрегламентам и к добровольному сертификату на систему менеджмента не применяются. Риски другие:

• Отклонение заявки в закупке — если документ не подтверждается в реестре выдавшего органа или его область не покрывает предмет закупки;
• Непонимание со стороны зарубежного контрагента — он может ждать сертификат по ISO 28000:2022, а не по национальному стандарту, основанному на отозванной редакции ISO 28002:2011;
• Приостановка сертификата — при непрохождении инспекционного контроля или неустранённых значительных несоответствиях;
• Договорные санкции за срыв поставок — наступают по условиям контракта независимо от наличия сертификата.