ГОСТ Р ИСО 22301-2021: менеджмент непрерывности бизнеса

ГОСТ Р ИСО 22301-2021 устанавливает требования к системе менеджмента непрерывности бизнеса, которая помогает организации продолжать приоритетную работу во время нарушения деятельности и восстанавливать ее на приемлемом уровне. Стандарт подходит организациям любых типов и размеров, но применять его и получать сертификат по общему правилу необязательно.

Консультационные работы по разработке и внедрению СМНБ и независимый сертификационный аудит являются разными услугами и могут выполняться разными лицами. Их стоимость рассчитывается отдельно и зависит от границ системы, числа площадок, сложности процессов, фактической готовности документов и объема аудита.

Консультация по целесообразности сертификации ГОСТ Р ИСО 22301-2021
Специалист сопоставит задачу организации с возможными вариантами подтверждения и определит, нужна ли внешняя оценка. В результате заявитель получит памятку о случаях, когда достаточно внедрения, а когда требуется сертификат.

Внедрение, аудит или сертификат: какой результат нужен организации

Сначала нужно определить не название документа, а деловую задачу. Для внутреннего обеспечения непрерывности достаточно внедрить СМНБ и контролировать ее собственными средствами. Если наличие сертификата предусмотрено тендером, договором с заказчиком или правилами допуска поставщика, потребуется независимая оценка в выбранной системе добровольной сертификации.

Статья 26 Федерального закона № 162-ФЗ закрепляет добровольное применение национальных стандартов. Однако после публичного заявления о соответствии, включая использование обозначения ГОСТ Р ИСО 22301-2021 в документации, заявленные требования становятся обязательными для такого лица. Поэтому размещать номер стандарта в коммерческом предложении до внедрения системы нельзя считать нейтральной рекламной формулировкой.

Сертификат относится к системе менеджмента и видам деятельности организации, а не к безопасности конкретной продукции. Он не заменяет обязательные документы на продукцию, технических испытаний или разрешений, установленных отраслевыми нормами. Росстандарт утверждает национальный стандарт, но сертификат выдает орган соответствующей системы добровольной сертификации.

Область СМНБ может включать всю организацию либо отдельные площадки, подразделения, продукты и услуги. Исключения нужно документировать и объяснять. Нельзя исключить процесс только потому, что его трудно подготовить к аудиту, если BIA, оценка рисков или действующие обязательства показывают его критичность.

Что входит в систему менеджмента непрерывности бизнеса

ГОСТ Р ИСО 22301-2021 включает 7 основных разделов требований, с 4 по 10: контекст организации, лидерство, планирование, поддержка, функционирование, оценка результатов деятельности и улучшение. Такая структура связывает действия руководства, ресурсы и оперативные процедуры, поэтому одного плана восстановления для соответствия недостаточно.

Рабочая система должна охватывать:

• контекст, заинтересованные стороны и документированную область применения;
• политику, цели, полномочия и ответственность руководства;
• анализ воздействия на деятельность, оценку рисков и выбор эффективных решений;
• планы реагирования, предупреждение, коммуникации и порядок восстановления;
• учения, внутренние аудиты, анализ со стороны руководства и корректирующие действия.

Стандарт не обещает устранить все аварии и простои. Его назначение состоит в подготовке средств управления и возможностей продолжать работу во время сбоя. Поэтому результативность оценивают не по отсутствию единственного инцидента, а по способности организации выполнить согласованные действия и восстановить приоритетные процессы.

Что дает организации внедрение системы непрерывности

Внедрение СМНБ решает три прикладные задачи. Первая: организация заранее знает, какие процессы восстанавливает в первую очередь и за какое время, поэтому во время сбоя решения принимают по согласованному приоритету, а не по обстановке. Вторая: становятся видны зависимости, о которых в спокойном режиме не думают, от связи и энергоснабжения до ключевых поставщиков и доступа к расчетным счетам. Третья: у руководства появляются доказательства работы системы вместо декларации о готовности.

Отдельно стоит внешний эффект. Требование о наличии сертификата обычно приходит не изнутри компании, а от заказчика, тендерной документации или головной организации группы. В такой ситуации внедрение снимает конкретный барьер допуска, и вложения корректнее сопоставлять со стоимостью контракта, доступ к которому закрыт, а не с абстрактной пользой. Границы результата тоже стоит зафиксировать заранее. Система не сокращает число аварий, не заменяет страхование и не подтверждает безопасность продукции. Она свидетельствует о том, что управление и подготовка выстроены и проверены независимой оценкой на определенную дату.

Как рассчитать сроки восстановления через BIA

Анализ воздействия на деятельность, или BIA, выявляет момент, после которого последствия остановки становятся неприемлемыми, и устанавливает приоритеты восстановления. Пункт 8.2.2 не задает единых числовых значений RTO или допустимого простоя: организация рассчитывает их с учетом обязательств, ресурсов, зависимостей и потребностей заинтересованных сторон.

Для каждого приоритетного процесса анализируют продукт или услугу, допустимое развитие последствий во времени, минимально приемлемый уровень работы, необходимые помещения, персонал, информацию, оборудование и поставщиков. В перечень зависимостей могут входить доступ к расчетным счетам, связь, энергоснабжение, информационные системы и другие внешние сервисы. Полученные параметры должны согласовываться между бизнес-подразделением и ИТ, иначе технический DRP может восстановить сервер позже, чем это допускает деятельность.

ГОСТ Р ИСО 22313-2021 поясняет применение требований основного стандарта, но не добавляет самостоятельных сертификационных критериев. Для методики BIA используется ГОСТ Р ИСО/ТС 22317-2021, а зависимость от критических подрядчиков и поставщиков раскрывает ГОСТ Р ИСО/ТС 22318-2021. Оценка поставщика в таком контуре включает его резервные мощности, единичные точки отказа, порядок уведомления и способность выполнять договор после сбоя.

Документы для внедрения и доказательства работы СМНБ

Единого типового комплекта ГОСТ Р ИСО 22301-2021 не устанавливает. Состав документированной информации зависит от области системы, сложности деятельности и обязательств организации, но аудитору нужны не только утвержденные процедуры, а также записи об их применении.

В комплект подготовки обычно включают:

• описание контекста, заинтересованных сторон и области СМНБ;
• политику, цели, распределение полномочий и сведения о компетентности работников;
• методику и результаты BIA, оценку рисков, перечень приоритетных видов деятельности;
• стратегии обеспечения непрерывности и обоснование выбранных ресурсов;
• планы реагирования, восстановления, коммуникаций и предупреждения;
• программу учений, сценарии, протоколы и решения по обнаруженным недостаткам;
• программу и отчеты внутренних аудитов, сведения о несоответствиях;
• результаты анализа со стороны руководства и корректирующие действия.

Пункт 8.5 требует проводить учения через запланированные организацией интервалы. Аналогичный подход действует для внутренних аудитов по пункту 9.2 и анализа системы руководством по пункту 9.3: фиксированной периодичности в месяцах или годах нет. Интервалы закрепляют во внутренних документах с учетом критичности процессов и изменений в деятельности.

Что изменилось в редакции 2021 года и с какой даты она действует

Действующая редакция применяется с 1 января 2022 года, прежняя с этой же даты силу утратила. Разница между версиями не сводится к номеру на титульном листе: редакция 2014 года воспроизводила международный документ 2012 года, а нынешняя идентична версии 2019 года, поэтому структура и формулировки требований в них расходятся.

Для организации это означает пересмотр ранее подготовленных материалов. Политики, планы, внутренние процедуры СМНБ, а также ссылки в договорах и тендерной документации, оформленные по прежней редакции, приводят к действующему обозначению: ссылка на отмененный документ не подтверждает соответствие сегодняшним требованиям.

Сертификат, выданный на редакцию 2014 года, на новую автоматически не переносится, а условия перехода определяют правила системы добровольной сертификации и договор с органом.

Проверить стоит и состав сопутствующих документов. Руководство по применению и методические документы по анализу воздействия на деятельность и цепи поставок тоже вышли в редакциях 2021 года, поэтому смешивать их с прежними версиями при разработке системы не следует.

Действующие и отмененные стандарты и связанные документы по непрерывности бизнеса

С 1 января 2022 года действует ГОСТ Р ИСО 22301-2021, введенный приказом Росстандарта от 28.09.2021 № 1010-ст взамен редакции 2014 года. Новый национальный стандарт идентичен ISO 22301:2019, степень соответствия обозначена как IDT. Фиксированная дата окончания его действия не установлена. ГОСТ Р ИСО 22301-2021 и ГОСТ Р ИСО 22313-2021 можно использовать совместно: первый устанавливает требования к СМНБ, а второй поясняет их применение и не добавляет самостоятельных сертификационных критериев.

Актуальный статус и сведения об изменениях доступны в Федеральном информационном фонде стандартов и каталоге национальных стандартов Росстандарта. Поиск лучше выполнять по полному обозначению и отдельно по номеру 22301-2021.

Как проверить, что документ не отменен, и где взять официальный текст

Статус национального стандарта меняется решением Росстандарта, поэтому опираться нужно на официальные информационные ресурсы, а не на копию файла из поисковой выдачи. В карточке документа смотрят три поля:

• действует ли документ на текущую дату;
• чем он заменен, если статус изменился;
• вносились ли в него изменения и поправки.

Искать удобнее и по полному обозначению, и отдельно по числовой части, потому что написание с пробелами, дефисами и буквенной приставкой в разных источниках отличается. Саму проверку разумно делать дважды: перед началом разработки документов системы и перед подачей заявки в орган по сертификации. Между этими моментами проходят месяцы, и ссылка, верная на старте проекта, к аудиту может оказаться устаревшей. Отдельно отслеживают поправки к международному оригиналу: сами по себе они текст национального стандарта не меняют.

От диагностики до решения сертификационного органа

Типовая последовательность может начинаться с определения области сертификата и выбора органа, чья компетенция соответствует сертификации СМНБ. Организация передает заявку, сведения о площадках и процессах, документы системы и записи, подтверждающие ее работу. Консультант может помочь с разработкой и внедрением, но решение о соответствии принимает орган по сертификации. Состав и очередность этапов нужно проверять по правилам конкретной системы добровольной сертификации и договору.

В зависимости от правил выбранной системы процедура может включать документарный анализ и аудит выполнения требований разделов 4-10, результатов BIA, готовности персонала, записей учений, внутреннего аудита и анализа руководства. Порядок классификации и устранения несоответствий, представления доказательств и принятия решения устанавливают правила конкретной системы и договор.

Закон и сам ГОСТ не устанавливают единый полный срок процедуры, продолжительность отдельных этапов или срок действия добровольного сертификата. Эти условия определяют правила выбранной системы и договор. Стоимость консультационной подготовки и независимого сертификационного аудита рассчитывают отдельно с учетом числа площадок, области работ, готовности персонала и документов, а также необходимости устранять выявленные недостатки.

Предварительная оценка области и состава работ по СМНБ
До заключения договора можно сопоставить процессы, площадки, BIA, планы и имеющиеся записи. Результатом станет перечень недостающих материалов и факторов, которые влияют на стоимость аудита.

Подготовка к аудиту без формального комплекта документов

До выбора органа следует зафиксировать деловую причину сертификации и проверить формулировку требования заказчика. Если закупка называет конкретный стандарт, область или вид аккредитации, эти условия сопоставляют с будущим сертификатом до разработки документов.

Работу над системой лучше начинать с границы применения и BIA, а не с покупки шаблонов. Результаты анализа определят, какие планы нужны, какие ресурсы резервировать и каких поставщиков включать в учения. После этого назначают владельцев процедур и сотрудников, которые смогут поддерживать систему: без ответственных лиц подготовленная документация не подтверждает действующее управление.

Перед внешним аудитом полезен внутренний входной аудит по всей заявленной области. Он должен проверить не красоту форм, а связь между выводами BIA, выбранными решениями, сценариями учений и корректирующими действиями. Макеты сертификата, сроки и состав инспекционных мероприятий согласовывают только после проверки правил конкретной системы добровольной сертификации.

Какие ошибки аудитор находит чаще всего

Содержательный аудит проверяет не комплект бумаг, а четыре связки, в которых чаще всего расходятся утвержденные документы и реальная практика.

Ответственность за нарушение обязательств и недостоверное заявление

При нарушении требования, закрепленного в конкретном договоре, применяются предусмотренные им и законом последствия. За недостоверное заявление о соответствии ответственность определяется применимыми нормами с учетом содержания и способа распространения заявления.

Орган можно проверить в реестре аккредитованных лиц Росаккредитации по наименованию, ИНН или номеру записи. Затем сопоставляют статус и область аккредитации с сертификацией систем менеджмента. Отсутствие записи подтверждает отсутствие национальной аккредитации, но само по себе не доказывает недействительность любого добровольного или иностранного сертификата.

Законодательство и стандарты для СМНБ и ее сертификации

Что делать, если в компании уже внедрены ИСО 9001 или ИСО 27001

Можно ли объединить ГОСТ Р ИСО 22301-2021 с ИСО 9001 или ИСО 27001?

Организация может согласовать общие процессы управления документами, внутреннего аудита, анализа руководством и корректирующих действий. Специальные требования к BIA, стратегиям непрерывности и восстановлению сохраняются в контуре СМНБ.

Как определить периодичность пересмотра рисков и планов?

Единого календарного интервала стандарт не задает. Организация устанавливает его сама и дополнительно пересматривает материалы при изменении процессов, поставщиков, ресурсов, обязательств или результатов учений.