Сертификация по ГОСТ Р ИСО 22301-2021 подтверждает, что организация внедрила систему менеджмента непрерывности бизнеса и способна управлять нарушениями деятельности. Сертификат подтверждает управляемый подход к нарушениям, но не гарантирует отсутствие аварий, санкционных ограничений, киберинцидентов или финансовых потерь. Для большинства компаний сертификат добровольный, но его могут потребовать условия тендера, договор с клиентом или корпоративные правила заказчика. Государственной цены нет: стоимость определяют после оценки области системы, площадок, процессов и готовности документов.
Объектом сертификации является система менеджмента непрерывности бизнеса. Поэтому до оформления нужно выбрать вариант признания сертификата, определить границы СМНБ и подготовить доказательства того, что принятые решения проверяются на практике.
Подготовим систему менеджмента непрерывности бизнеса к сертификации.
Мы работаем как консультант: определим область, проверим документы и требования заказчика, подготовим к аудиту и рассчитаем бюджет проекта. Независимую сертификацию проводит выбранный орган по сертификации.
- проверка целесообразности получения сертификата
- проверка требований к аккредитации органа и признанию сертификата
- предварительная оценка области и числа площадок
- перечень документов для старта проекта
Узнать формат и бюджет сертификации
получить разбор области и вариантов признания
Какие специалисты помогут подготовить СМНБ к сертификации
Подготовка к сертификации требует участия не одного исполнителя, а проектной команды, состав которой зависит от масштаба и устройства организации. Со стороны консультанта работу координирует руководитель проекта: он уточняет цель получения сертификата, проверяет требования заказчика или закупочной документации, помогает определить область СМНБ и формирует последовательность подготовки. При этом сотрудники организации остаются владельцами процессов и принимают управленческие решения, поскольку внешняя команда не может вместо руководства установить допустимые последствия простоя, приоритеты восстановления и порядок распределения ресурсов.
Методолог по непрерывности бизнеса сопоставляет действующие процессы и документы с требованиями стандарта. Он помогает организовать анализ воздействия на бизнес, оценку рисков, выбор стратегий непрерывности, разработку планов реагирования и восстановительных процедур. Работа строится на фактических данных о площадках, персонале, ИТ-системах, поставщиках и критических услугах. Задача эксперта состоит не в заполнении универсальных шаблонов, а в том, чтобы связать документы с реальными зависимостями, ответственными лицами, доступными ресурсами и установленными целями восстановления.
К проекту со стороны организации обычно подключают руководителей критических процессов, специалистов по рискам, информационным технологиям, безопасности, закупкам, персоналу, эксплуатации и правовым вопросам. Они предоставляют исходные данные и проверяют, выполнимы ли разработанные решения. Отдельное внимание уделяют владельцам инфраструктуры и договоров с поставщиками: заявленные резервные схемы должны подтверждаться полномочиями, ресурсами и согласованным порядком действий. Специалист по внутренним аудитам помогает проверить систему до независимой оценки, зафиксировать несоответствия и проконтролировать корректирующие действия.
На завершающем этапе команда готовит сотрудников к интервью, проверяет записи об учениях, результаты внутреннего аудита и анализа со стороны руководства, а также собирает подтверждения выполнения установленных процедур. Консультанты могут помочь выбрать орган, проверить область его аккредитации и передать исходные данные для расчета аудита, но не принимают решение о выдаче сертификата. Независимость оценки сохраняется: подготовку и сертификационный аудит проводят разные стороны, а вывод о соответствии делает выбранный орган по сертификации.
Нужен ли сертификат каждой организации
Сертификат нужен не каждой организации. ГОСТ Р ИСО 22301-2021 можно применять в компании любого типа и размера, однако всеобщей обязанности получать сертификат нет. Статья 21 Федерального закона от 27.12.2002 № 184-ФЗ относит такую оценку систем менеджмента к добровольному подтверждению соответствия, проводимому по инициативе заявителя и на условиях договора.
Практическая обязательность возникает, если сертификат прямо указан в закупочной документации, контракте, отраслевом требовании или внутренних правилах группы компаний. Формулировку нужно читать буквально: заказчик может требовать российский сертификат ГОСТ Р, сертификат ISO 22301:2019, конкретную аккредитацию или определенную область. Национальный стандарт идентичен ISO 22301:2019 по предмету требований, но это не означает автоматического признания любого выданного документа.
Организация может внедрить СМНБ без внешней сертификации либо получить добровольный сертификат у органа, работающего в пределах требуемой аккредитации или вне аккредитованной деятельности, если это допускают требования получателя. Добровольный характер сертификации и наличие аккредитации у органа являются независимыми характеристиками.
Сначала запросите у заказчика точную формулировку требования к сертификату. Если закупка требует сертификат ISO 22301 в пределах конкретной аккредитации, документ, выданный вне требуемой аккредитованной деятельности, может не пройти приемку. Для внутренней задачи или маркетингового подтверждения допустим другой вариант, если он не вводит клиентов в заблуждение.
Преимущества сертификации связаны не только с предъявлением сертификата заказчику. Подготовка к независимому аудиту помогает распределить ответственность за непрерывность, выявить критические зависимости, согласовать приоритеты восстановления и проверить планы на учениях. Сертификат может использоваться как независимое свидетельство наличия управляемой СМНБ при переговорах, закупках и оценке поставщиков. Получение документа также упрощает сопоставление внутренних процессов с требованиями группы компаний или деловых партнеров. Эти преимущества возникают при работающей системе и регулярном надзоре: сам бланк без внедренных процедур, записей и учений не повышает устойчивость бизнеса.
Частые вопросы. Можно ли получить сертификат без внедрения СМНБ? Для полноценного аудита нужны действующие процессы и подтверждающие записи, а не только комплект шаблонов. Обязательно ли сертифицировать всю компанию? Нет, область может охватывать документированную часть организации, если ее границы корректно указаны. Заменяет ли сертификат обязательные разрешения и оценки продукции? Нет, он относится к системе менеджмента непрерывности бизнеса. Можно ли использовать ISO 22301:2019 вместо ГОСТ Р ИСО 22301-2021? Это зависит от буквального требования заказчика, правил закупки и требуемого варианта признания документа.
Какие редакции применимы к новому проекту
| Документ | Статус | Что применять |
|---|---|---|
| ГОСТ Р ИСО 22301-2021 | Действует с 1 июня 2022 года | Основа нового аудита СМНБ; стандарт принят взамен редакции 2014 года |
| ГОСТ Р ИСО 22301-2014 | Отменен с 1 июня 2022 года | Для новой сертификации используют редакцию 2021 года; старые политики и сертификаты требуют переходной оценки |
| ГОСТ Р ИСО 22313-2021 | Действует | Руководство по применению ИСО 22301, не самостоятельный стандарт сертификации |
| ГОСТ Р ИСО 22313-2015 | Отменен | Заменен руководством 2021 года |
| ГОСТ Р 53647.1-2009 | Отменен | Не использовать как актуальную нормативную базу сертификата ISO 22301 |
ГОСТ Р ИСО 22301-2021 утвердил приказ Росстандарта от 12.11.2021 № 1488-ст. Встречающиеся ссылки на приказ от 05.10.2021 № 1059-ст и дату 1 января 2022 года относятся к ошибочной атрибуции. Актуальную карточку стандарта публикует официальный каталог Росстандарта.
Чем ГОСТ Р ИСО 22301-2021 отличается от ISO 22301:2019? ГОСТ Р ИСО 22301-2021: российский национальный стандарт, принятый на основе международного ISO 22301:2019 и относящийся к той же системе менеджмента непрерывности бизнеса. Различаются обозначение, язык публикации и национальный статус документа, а признание конкретного сертификата дополнительно зависит от органа, его аккредитации и требований заказчика.
Особенность ИСО 22301 состоит в системном подходе: стандарт устанавливает требования не к одному плану восстановления, а к управлению непрерывностью в целом. Организация определяет контекст и область СМНБ, закрепляет ответственность руководства, анализирует воздействие нарушений, оценивает риски, выбирает стратегии, разрабатывает процедуры, проводит учения и оценивает результаты. Основополагающие идеи стандарта — ориентация на критические процессы и заинтересованные стороны, готовность к нарушениям, решения на основе подтверждаемых данных и постоянное улучшение. Подробнее требования к сертифицируемой системе изложены в разделах 4-10 ГОСТ Р ИСО 22301-2021, а практические пояснения по их применению содержит ГОСТ Р ИСО 22313-2021.
Как проверить орган по сертификации
Статус органа проверяют отдельно от сертификата. Орган по сертификации выдает сертификат на основании договора; ISO, Росстандарт и Росаккредитация не оформляют его вместо выбранного органа. Аккредитация подтверждает компетентность органа в определенной области, тогда как сертификация относится к СМНБ заявителя.
Запись, статус и область органа доступны в реестре аккредитованных лиц Росаккредитации. В области должна присутствовать сертификация соответствующих систем менеджмента. Отсутствие записи само по себе не доказывает недействительность добровольного сертификата вне национальной системы, но такой документ может не выполнить условие тендера или контракта.
За выдачей сертификата обращаются в выбранный орган по сертификации, а за разработкой СМНБ и подготовкой к независимой проверке — к консультанту, если организации нужна такая помощь.
Как определить область СМНБ
Область системы определяет ценность результата. Сертифицироваться может вся организация или ее документированная часть. Область СМНБ должна соответствовать фактическим подразделениям, площадкам, видам деятельности, продукции, услугам, ресурсам и цепочкам поставок, которые охватывает система.
Определять область только по кодам ОКВЭД или названию компании нельзя. Пункты 4.1-4.3 ГОСТ Р ИСО 22301-2021 требуют учитывать контекст организации, потребности клиентов и других заинтересованных сторон, территориальные границы и реальные процессы. Сужение допустимо, если сертификат прямо показывает, какая часть бизнеса прошла аудит. Заявлять после этого соответствие всей компании недостоверно.
Сертификат СМНБ не заменяет обязательную оценку продукции, разрешения, требования пожарной безопасности, охраны труда, защиты информации, персональных данных или гражданской обороны. Эти режимы учитывают при разработке системы, но независимый аудит по ИСО 22301 не подтверждает соблюдение каждого из них.
Для расчета соберите сведения о численности, сменности, географии, площадках, критических услугах и действующих документах. Эти исходные данные передают выбранному органу по сертификации для расчета независимого аудита; консультационные работы по разработке и внедрению СМНБ рассчитывают отдельно.
Когда заявления о сертификате могут нарушать закон
Специальный административный штраф только за отсутствие добровольного сертификата ГОСТ Р ИСО 22301-2021 не установлен. Иная ситуация возникает, если организация заявляет несуществующую аккредитацию, использует чужой знак соответствия, скрывает ограниченную область или сообщает потребителям недостоверные сведения.
Статья 5 Федерального закона от 13.03.2006 № 38-ФЗ запрещает недостоверную рекламу сведений о сертификатах и подтверждении соответствия. В отношениях с потребителями-гражданами применяются статьи 10 и 12 Закона РФ № 2300-1. В зависимости от фактического состава возможна ответственность за недостоверную рекламу по статье 14.3 КоАП РФ, обман потребителей по статье 14.7, недостоверную информацию потребителю по части 1 статьи 14.8 или нарушение порядка использования знака национальной системы аккредитации по статье 14.60. Штрафы обязательной сертификации продукции нельзя автоматически переносить на добровольную СМНБ.
Что подготовить к аудиту СМНБ
К аудиту готовят доказательства работающей СМНБ. Комплект документов строят вокруг разделов 4-10 стандарта, а не вокруг универсального шаблона. Аудитор сопоставляет установленные правила с записями, решениями руководства и результатами учений. Один BCP или план аварийного восстановления не закрывает требования к системе управления.
Как консультант, для подготовки заявки и планирования независимой проверки готовим или систематизируем:
- область применения, политику и цели непрерывности бизнеса
- реестр критических процессов и результаты BIA
- оценку рисков и критерии приемлемого нарушения деятельности
- стратегии непрерывности, планы реагирования и восстановления
- распределение ролей, контактов, ресурсов и полномочий
- программы учений и записи об их результатах
- материалы внутреннего аудита и анализа со стороны руководства
- корректирующие действия и свидетельства постоянного улучшения
BIA, или анализ воздействия на бизнес, связывает критичные процессы с последствиями остановки, зависимостями и приоритетами восстановления. Показатель RTO задает целевое время восстановления конкретного процесса. Его нельзя назначать одной цифрой для всей компании без проверки ресурсов и зависимостей: выбранное время должно поддерживаться персоналом, ИТ, помещениями, поставщиками и резервными решениями.
Стандарт охватывает непредвиденные ситуации шире ИТ-аварий: недоступность площадки, нарушение поставок, отказ инфраструктуры и потерю ключевого ресурса. ИТ-восстановление остается одной из частей общей системы управления непрерывностью деятельности.
Проверим готовность СМНБ до обращения в орган.
Результатом станет карта области, перечень недостающих свидетельств и разделение работ по внедрению и независимой сертификации.
Провести предварительную оценку смнб
получить карту области и недостающих свидетельств
Какие акты регулируют СМНБ, аудит и заявления о сертификате
| Документ | Применение к теме |
|---|---|
| Федеральный закон от 27.12.2002 № 184-ФЗ | Статьи 20-22 разграничивают обязательное и добровольное подтверждение, договорные условия и знак системы |
| Федеральный закон от 29.06.2015 № 162-ФЗ | Статьи 24-26 определяют статус и добровольное применение национальных стандартов |
| Федеральный закон от 28.12.2013 № 412-ФЗ | Регулирует аккредитацию и подтверждение компетентности органов |
| Федеральный закон от 13.03.2006 № 38-ФЗ | Статья 5 применяется к рекламе сертификата и аккредитации |
| Закон РФ от 07.02.1992 № 2300-1 | Статьи 10 и 12 применяются к информации для потребителей |
| Приказ Росстандарта от 12.11.2021 № 1488-ст | Утвердил ГОСТ Р ИСО 22301-2021 и установил введение с 1 июня 2022 года |
| ГОСТ Р ИСО 22301-2021 | Разделы 4-10 содержат требования к СМНБ организации |
| ГОСТ Р ИСО/МЭК 17021-1-2017 | Регулирует первоначальный аудит, надзор, ресертификацию и решения органа |
| ГОСТ Р ИСО/МЭК ТС 17021-6-2015 | Устанавливает специальные требования к компетентности персонала, участвующего в сертификации систем менеджмента непрерывности бизнеса |
Официальный статус национального стандарта проверяют в каталоге Росстандарта, а сведения об аккредитации органа — в реестре аккредитованных лиц Росаккредитации.
Этапы аудита по ГОСТ Р ИСО/МЭК 17021-1-2017 и договорная стоимость
При сертификации по процедурам ГОСТ Р ИСО/МЭК 17021-1-2017 первоначальный аудит проводят в два этапа. На первом орган анализирует готовность, область, документацию и условия проведения проверки. На втором аудиторская группа оценивает внедрение требований и записи, беседует с ответственными лицами, проверяет BIA, планы, учения, внутренний аудит и действия руководства. Для иных систем добровольной сертификации этапы нужно проверять в правилах системы и договоре.
Единого срока оформления в рабочих или календарных днях нет. Интервал между этапами зависит от проблем, выявленных на первой проверке, и времени, которое организации нужно для их устранения. Предложения быстро оформить сертификат, в том числе от 2 рабочих дней, нужно сопоставлять с правилами системы, составом работ и доказательствами проведения аудита: такой срок сам по себе не подтверждает, что пройден полноценный процесс сертификации.
Фиксированная государственная пошлина за выдачу добровольного сертификата не установлена. Цена определяется договором и зависит от численности персонала, числа площадок, сложности процессов, выбранной области сертификации, продолжительности аудита и командировочных расходов.
Рассчитаем бюджет подготовки после проверки области и готовности документов.
Расчет покажет объем консультационных работ и исходные данные, которые нужно передать выбранному органу для независимого аудита.
Сформировать план подготовки смнб
узнать состав работ и исходные данные для аудита
Что происходит после выдачи сертификата
Сертификационный цикл не заканчивается выдачей. Аккредитованная сертификация систем менеджмента строится на цикле продолжительностью 3 года. Инспекционный контроль в форме надзорного аудита согласно пункту 9.1.3.3 ГОСТ Р ИСО/МЭК 17021-1-2017 проводят не реже одного раза в календарный год, кроме года ресертификации. Первую надзорную проверку орган назначает не позднее чем через 12 месяцев с даты решения о сертификации.
Наличие бланка без последующего надзора не подтверждает сохранение сертификации в течение всего трехлетнего цикла.
Ресертификацию планируют до окончания действующего цикла. Если срок уже истек, ГОСТ Р ИСО/МЭК 17021-1-2017 допускает восстановление в течение 6 месяцев при завершении незакрытых мероприятий. В ином случае орган проводит как минимум второй этап аудита. Конкретные даты действия, условия приостановления и правила использования знака системы указывают сертификат, договор и правила выбранной СДС.
Ресертификацию включают в календарь заранее, не ориентируясь только на дату на бланке. Программа должна учитывать внутренний аудит, анализ руководства, учения и закрытие корректирующих действий до визита аудиторской группы.