Сертификат ГОСТ Р ИСО 28000 – система менеджмента безопасности цепи поставок

Действующее обозначение — ГОСТ Р ИСО 28000-2019 «Технические условия для систем менеджмента безопасности цепи поставок» (приказ Росстандарта от 23.12.2019 № 1432-ст). Прежний ГОСТ Р 53663-2009 (ИСО 28000:2005) утратил силу, и сертификат со ссылкой на него заказчик вправе не принять. Слово «технические условия» в названии означает спецификацию требований — по этому стандарту сертификация проводится.

Какое обозначение действует и что с международной основой

ГОСТ Р ИСО 28000-2019 действует и задаёт требования к системе менеджмента безопасности цепи поставок: политика, оценка рисков и угроз, цели, ресурсы и компетентность, управление процессами, оценка результативности.

С международной основой ситуация изменилась. Национальный стандарт восходит к редакции ISO 28000:2007, а в марте 2022 года вышел ISO 28000:2022 — с новым названием «Security and resilience — Security management systems — Requirements» и расширенной областью: он применим к организациям любого профиля. Российской версии под редакцию 2022 года пока нет, поэтому с зарубежным контрагентом стоит уточнить, какой документ он ждёт.

Смежные стандарты серии, все от 23.12.2019: ГОСТ Р ИСО 28001-2019 — оценка уязвимостей и планы безопасности (сертификация проводится), ГОСТ Р ИСО 28002-2019 — устойчивость цепи поставок (тоже сертифицируется), ГОСТ Р ИСО 28004-1-2019 — руководящие указания по внедрению, требований нет и сертификата не бывает.

Какой документ подтверждает систему

Результат — сертификат соответствия системы менеджмента безопасности цепи поставок на заявленную область: площадки, направления перевозок, категории грузов. Объект оценки — управление, а не груз, знак соответствия на товары не наносится.

Процедура добровольная: обязательное подтверждение соответствия вводят только технические регламенты (ст. 21 Федерального закона № 184-ФЗ). Обязательным сертификат делает требование заказчика или условие закупки. Документ выдаёт либо орган в национальной системе аккредитации (реестр pub.fsa.gov.ru/ral), либо орган системы добровольной сертификации, зарегистрированной Росстандартом. Мы работаем в СДС «Эконорма» и «Промтехсертификация». Силу документу даёт запись в реестре выдавшего органа: с 2021 года сертификаты оформляются электронно, проверять их нужно по номеру записи. Срок действия — три года, это требование ГОСТ Р ИСО/МЭК 17021-1-2017.

Что даёт внедрение

Стандарт не гарантирует отсутствия инцидентов — он задаёт порядок, при котором уязвимости находят до происшествия, а не после.

• Управляемость рисков. Угрозы по звеньям описаны, ранжированы и закреплены за ответственными; видно узкое место и порядок действий при срабатывании.
• Требования к подрядчикам. Критерии отбора перевозчиков и складов формализованы и вынесены в договоры, выполнение проверяется, а не подразумевается.
• Допуск к контрактам. Крупные грузовладельцы и торговые сети включают наличие сертифицированной системы безопасности в условия отбора логистического оператора.
• Разбор инцидентов. Происшествия регистрируются, причины анализируются, корректирующие действия документируются — это запрашивают и заказчик, и страховщик.
• Совместимость. Структура разделов общая с ИСО 9001, 14001, 45001 и 22301: аудиты объединяют, документацию не дублируют.

Что смотрит аудитор по разделам стандарта

Испытаний в этой процедуре нет: оценивают документы, процессы и записи. Аудит проходит в два этапа — анализ документации и проверка на площадках.

• Контекст и область. Границы системы: площадки, склады, перевозчики, направления, категории грузов; внешние факторы, включая требования таможни и заказчиков.
• Политика и лидерство. Утверждённая политика безопасности, распределение полномочий, ответственные.
• Оценка рисков и угроз. Ядро стандарта: сценарии (хищение, подмена, несанкционированный доступ, контрабанда, повреждение груза), оценка вероятности и последствий, критичные звенья и зависимость от единственного подрядчика.
• Планирование и процессы. Цели, компетентность персонала, обмен информацией с контрагентами; контроль доступа, пломбирование и его учёт, передача груза между звеньями.
• Оценка результативности. Показатели по инцидентам и времени восстановления, внутренние аудиты, анализ со стороны руководства, корректирующие действия.

Частое значительное несоответствие: реестр угроз составлен, но планы реагирования ни разу не проверялись, а критичные подрядчики не ранжированы — подтвердить работоспособность системы нечем. Второе — политика подписана, а ответственные за конкретные звенья не назначены.

Документы от заявителя

• заявка с областью сертификации: площадки, направления перевозок, категории грузов;
• устав, ИНН, ОГРН, коды по ОКВЭД, оргструктура;
• политика и цели в области безопасности цепи поставок;
• схема цепи поставок, перечень подрядчиков, перевозчиков и складов;
• реестр рисков и угроз с оценкой последствий, планы реагирования;
• регламенты по объектам (доступ, охрана, видеонаблюдение, пломбирование) и договоры с подрядчиками с требованиями безопасности;
• записи за отработанный период: журналы инцидентов, результаты проверок планов, внутренние аудиты, анализ со стороны руководства.

Сертифицируют работающую систему: нужны фактические записи хотя бы за один отработанный цикл.

Порядок оформления

1. Заявка и согласование области сертификации — от неё зависит трудоёмкость аудита.
2. Диагностика: что закрыто регламентами логистики и охраны, а что дорабатывается.
3. Оценка рисков и угроз, разработка политики, целей, планов реагирования и требований к подрядчикам.
4. Внедрение: обучение ответственных, запуск учёта инцидентов, проверка планов.
5. Внутренний аудит и анализ со стороны руководства.
6. Первый этап аудита — анализ документации; второй — аудит на площадках: интервью с логистикой и службой безопасности, проверка записей по инцидентам.
7. Устранение несоответствий, решение о выдаче, запись в реестре органа или СДС.

Дальше инспекционный контроль не реже раза в календарный год, кроме года ресертификации, на третий год — ресертификация. Срок работ зависит от размера цепи поставок и готовности документации.

Ответственность

Статьи 14.43–14.45 КоАП РФ относятся к обязательному подтверждению соответствия продукции техническим регламентам и к добровольному сертификату на систему менеджмента не применяются. Риски здесь другие:

• отклонение заявки — если сертификат не подтверждается в реестре выдавшего органа либо область не покрывает предмет закупки;
• ссылка на утративший силу ГОСТ Р 53663-2009 — самая частая ошибка в этой теме, обесценивает весь комплект документов;
• расхождение с ожиданиями зарубежного контрагента — он может ждать сертификат по ISO 28000:2022;
• приостановка сертификата — при непрохождении инспекционного контроля.