ГОСТ Р ИСО 30301-2014: система управления записями

ГОСТ Р ИСО 30301-2014: система управления записями, требования и внедрение касается управления документированными свидетельствами деятельности организации. Стандарт подходит организациям любого размера и отрасли, но обязательная государственная сертификация по нему не предусмотрена. Госпошлина также не установлена, а стоимость внедрения и добровольной оценки определяют после анализа процессов, площадок и имеющейся документации.

Для нового проекта редакция 2014 года уже не подходит: ее заменил ГОСТ Р ИСО 30301-2022. Сертификат нужен только тогда, когда его требует договор, заказчик или выбранный способ подтверждения; сама работающая система может подтверждаться также самооценкой либо проверкой заинтересованной стороны.

Получить консультацию специалиста по сертификации СМЗ
Специалист сопоставит цель проекта с действующей редакцией стандарта, поможет определить область системы и подготовит памятку по вариантам подтверждения.

Какая редакция действует и что делать со ссылкой на 2014 год

ГОСТ Р ИСО 30301-2014 действовал с 01.03.2015 до замены российской редакцией 2022 года, поэтому закладывать его в новое внедрение уже нельзя. Приказ Росстандарта от 22.05.2014 № 460-ст утвердил стандарт, идентичный ISO 30301:2011 со степенью соответствия IDT. Международный стандарт ISO 30301:2019 опубликован как обновленная версия ISO 30301:2011. С 01.06.2023 актуальной основой служит ГОСТ Р ИСО 30301-2022, идентичный ISO 30301:2019.

Проект по старой версии нельзя просто переименовать. Новая редакция использует обновленную структуру систем менеджмента, иначе формулирует работу с контекстом, заинтересованными сторонами, рисками и возможностями, документированной информацией, оценкой процессов. Сначала проводят анализ разрывов между редакциями, затем изменяют политики, цели, матрицу требований и материалы внутреннего аудита.

Статус проверяют в Каталоге национальных стандартов Росстандарта. Поиск выполняют по полному обозначению и отдельно по номеру без буквенной части: отсутствие результата при одном варианте написания еще не подтверждает отмену документа.

Добровольный ГОСТ и обязательные правила работы с документами

ГОСТ Р ИСО 30301 применим к частным компаниям, государственным учреждениям и другим организациям независимо от размера или отрасли. Для конкретной организации требование становится обязательным, если оно закреплено договором или локальным организационно-распорядительным документом. Указание стандарта в закупочной документации действует в пределах соответствующего требования и заключенного по закупке договора. Часть 3 статьи 26 Федерального закона № 162-ФЗ распространяется на изготовителя и (или) исполнителя, публично заявившего о соответствии стандарту.

Часть 1 статьи 26 Федерального закона № 162-ФЗ сохраняет общее правило добровольности национальных стандартов. Часть 3 той же статьи требует соблюдать заявленный стандарт, если изготовитель или исполнитель публично указал соответствие, применил его обозначение в документации либо использовал знак национальной системы стандартизации.

Отдельного штрафа за неприменение ГОСТ Р ИСО 30301-2014 нет. Ответственность возникает не за расхождение с добровольным стандартом, а за нарушение самостоятельных обязанностей по архивному хранению, персональным данным, бухгалтерским или корпоративным документам. В зависимости от фактического состава применяться могут статьи 13.20, 13.11, 13.25 или 15.11 КоАП РФ; сертификат СМЗ не заменяет юридическую проверку этих требований.

Самооценка, проверка заказчика и внешний аудит

Организация выбирает способ подтверждения по тому, кому нужен результат. Для внутреннего улучшения подходит самооценка, договорный заказчик может провести собственную проверку, а независимый сертификат используют, если контрагент требует подтверждение третьей стороной.

По Федеральному закону № 184-ФЗ добровольное подтверждение проводится по инициативе заявителя на условиях договора. ГОСТ не устанавливает единый срок действия сертификата: его определяют правила выбранной системы сертификации. Если заказчику нужен аккредитованный орган, область аккредитации проверяют до заключения договора; само внедрение СМЗ аккредитации организации не требует.

Что определить до разработки политики СМЗ

До разработки политики целесообразно зафиксировать ожидаемый результат: внутреннее улучшение, выполнение условия заказчика или независимый сертификат. От цели проекта зависят формат оценки, состав передаваемого комплекта и дополнительные требования заказчика; при заявлении полного соответствия обязательные требования стандарта должны быть выполнены независимо от способа подтверждения. Для нового проекта рабочей основой должна быть редакция 2022 года. Если договор ссылается на ГОСТ Р ИСО 30301-2014, необходимо согласовать с контрагентом изменение договора или письменное толкование требования. До этого соответствие редакции 2022 года нельзя автоматически считать исполнением ссылки на редакцию 2014 года. Профильный центр сертификации рассчитает объем работ с учетом цели проекта, площадок и способа подтверждения.

• Пилот лучше выбирать по процессу, в котором можно проследить запись от возникновения до завершения срока активного использования. В выборку включают бумажные и электронные документы, права доступа, метаданные и передачу в архив. Такой пилот показывает разрывы между регламентом и фактической работой до тиражирования решений на всю организацию.
• До настройки автоматического удаления формируют единую матрицу сроков и согласуют ее с архивом, юристами и владельцами процессов. Ответственного за СМЗ назначают вместе с полномочиями запрашивать сведения у подразделений и инициировать корректирующие действия: формальная роль без доступа к владельцам процессов не обеспечивает достижение целей системы.

Из каких блоков собирается система и кто за них отвечает

Система менеджмента записей, или СМЗ, связывает политику организации с операционным контролем качества информации. Настоящий стандарт устанавливает требования, которым должна отвечать СМЗ, чтобы помочь организации в выполнении своих обязательств, назначения, стратегии и достижении целей. Настоящий стандарт касается разработки и реализации политики и целей ведения записей и предоставляет сведения о результатах измерений и мониторинга. Требования редакции 2014 года были распределены по 7 основным разделам, с раздела 4 по раздел 10: контекст организации, лидерство, планирование, поддержка, функционирование, оценка результатов деятельности и улучшение. Полное соответствие означает, что эти блоки работают совместно. Наличие политики без операционных правил либо СЭД без ответственности руководства не закрывает требования стандарта. Руководство утверждает политику, область применения и цели СМЗ. Владельцы процессов определяют, какие записи подтверждают достижение целей и выполнение обязательств; архивная служба устанавливает правила хранения и выбытия, юристы формируют реестр правовых требований, ИТ и служба безопасности обеспечивают доступность, защиту и контроль изменений. Если за программой и процедурами не закреплены компетентные сотрудники, система не проходит содержательный аудит.

Пять заблуждений, из-за которых система остается на бумаге

Как проходит внедрение и из чего складывается стоимость проекта

Внедрение начинается с диагностики действующих процессов, а заканчивается доказательствами того, что организация оценивает результаты и устраняет несоответствия. Нормативно установленного срока нет: ГОСТ не задает количества календарных или рабочих дней ни для полного проекта, ни для отдельного этапа. График зависит от числа процессов и площадок, объема электронного и бумажного архива, зрелости локальных актов и готовности владельцев процессов участвовать в пилоте.

Комплект для внутренней или внешней оценки формируют из действующих, а не шаблонных материалов:

• утвержденной политики и измеримых целей менеджмента записей;
• описания области системы, контекста организации и заинтересованных сторон;
• реестра законодательных, нормативных, договорных и бизнес-требований;
• моделей процессов, классификаторов, правил метаданных, доступа, хранения и выбытия;
• распределения полномочий и документов о компетентности персонала;
• операционных записей, подтверждающих применение процедур;
• программы и результатов внутреннего аудита;
• материалов анализа со стороны руководства и корректирующих действий.

Сколько стоит внедрение СМЗ, можно определить только после обследования: фиксированной государственной цены и госпошлины нет, поскольку это не разрешительная процедура. Без сведений о количестве процессов, площадок, видах носителей, состоянии локальных документов и выбранном способе подтверждения корректно назвать сумму нельзя. Цена у исполнителей различается прежде всего составом предложения: один учитывает только диагностику или аудит, другой: разработку документации, настройку процессов, обучение, пилот и подготовку к сертификации. Отдельно орган оценки рассчитывает аудит по правилам добровольной системы и условиям договора. Поэтому сравнивать предложения следует по перечню работ и результатам каждого этапа, а точную стоимость запрашивать в индивидуальном расчете по единой области проекта.

Рассчитать объем и стоимость проекта СМЗ
Передайте область деятельности, перечень площадок и имеющиеся локальные документы — специалист разделит внедрение, внутреннюю проверку и независимую оценку, подготовит индивидуальный расчет и карту подготовки.

По каким показателям судят о работе системы и как оценивают риски

Оценка результатов деятельности требует заранее определить, что именно измеряется, каким методом, кто проводит измерение и с какой периодичностью анализируются данные. Без этого мониторинг сводится к отчету о количестве зарегистрированных документов, который ничего не говорит о качестве управления записями. Показатели формулируют от целей СМЗ: если цель состоит в доказуемости операций перед заказчиком, измеряют полноту захвата записей по контролируемым процессам, заполнение обязательных метаданных, соблюдение установленных прав доступа и сроков передачи в архив.

Рабочий набор метрик обычно собирают из трех групп. Полнота и качество захвата: доля процессов с описанными правилами создания записей, доля записей с заполненными обязательными реквизитами, количество документов, оставшихся вне системы. Управляемость хранения: соответствие фактических сроков утвержденной матрице, доля записей, выбывших по решению, а не самопроизвольно, доля успешных проверок читаемости электронных файлов. Результативность улучшения: доля несоответствий внутреннего аудита, устраненных в согласованный срок, и повторяемость одних и тех же замечаний от проверки к проверке. Целевые уровни стандарт не назначает: организация устанавливает их сама и пересматривает при анализе со стороны руководства.

Риски рассматривают применительно к записям, а не к организации вообще. Практический перечень включает утрату свидетельства до истечения срока хранения, невозможность подтвердить подлинность и авторство, недоступность записи из-за устаревшего формата или вывода системы из эксплуатации, преждевременное уничтожение при автоматической чистке, раскрытие сведений ограниченного доступа. По каждому риску фиксируют, какое средство контроля его закрывает и какая запись доказывает работу этого средства: резервное копирование, журналы доступа, акты проверки читаемости, протоколы экспертизы ценности. Возможности планируют тем же порядком: отказ от дублирующих реестров, сокращение ручного ввода и объединение разрозненных журналов тоже относятся к результатам планирования и проверяются на аудите.

Что считается записью и на какие носители распространяется система

Запись определяется функцией, а не форматом файла. Не каждый файл, черновик, электронное письмо или элемент базы автоматически становится управляемой записью. Значение имеют происхождение из деловой деятельности, доказательственная либо информационная ценность, захват в систему, контекст, метаданные и применение установленных правил доступа, хранения и выбытия.

Область СМЗ нельзя произвольно ограничить одной программой или канцелярией, если связанные записи создаются в закупках, производстве, кадровой работе или у подрядчика. Стандарт охватывает создание, захват, классификацию, использование, защиту, контроль изменений и выбытие записей на бумажных, электронных и гибридных носителях.

Сроки хранения стандарт не назначает универсально. Пункт A.2.1.3 редакции 2014 года требует определять продолжительность хранения исходя из требований каждого рабочего процесса. Организация сопоставляет деловую ценность с архивными перечнями, договорами и специальными режимами, а автоматическое уничтожение разрешает только после проверки применимых оснований и экспертизы ценности.

Для электронной записи одного файла недостаточно: вместе с содержанием сохраняют метаданные, контекст создания, полномочия доступа и сведения, необходимые для проверки подписи. При миграции между системами организация должна сохранить доказуемую связь записи с процессом; простое копирование каталога без контекста не обеспечивает подлинность и пригодность к использованию.

Уточняющие вопросы о СИБИД и отличиях СМЗ от документооборота

Что такое СИБИД и как система связана с ИСО 30301?

СИБИД объединяет стандарты по информации, библиотечному и издательскому делу. ГОСТ Р ИСО 30301 задает проверяемые требования к системе менеджмента, а ГОСТ Р ИСО 15489-1 раскрывает понятия и принципы профессионального управления документами. Применение принципов ИСО 15489 помогает проектировать процессы, но само по себе не подтверждает выполнение всех требований ИСО 30301.

Чем СМЗ отличается от обычного документооборота?

Документооборот обычно описывает движение, регистрацию и обработку документов. СМЗ шире: она связывает записи с целями и обязательствами организации, устанавливает политику, ответственность, требования к захвату, классификации, метаданным, доступу, хранению, защите и выбытию, а также предусматривает мониторинг, внутренний аудит и улучшение. СЭД может поддерживать эти процессы, но не заменяет систему менеджмента.

Какие ошибки чаще всего мешают внедрению СМЗ?

Чаще всего область проекта ограничивают одной СЭД или архивом, подменяют действующие процессы шаблонными регламентами, не выявляют правовые и договорные требования, не назначают владельцев записей и не собирают доказательства применения процедур. Еще одна ошибка — готовить новый проект по редакции 2014 года без анализа перехода на ГОСТ Р ИСО 30301-2022. В результате организация имеет комплект документов, но не может подтвердить работу СМЗ аудитом и операционными записями.

Акты и стандарты для действующей СМЗ