ISO 22301: система менеджмента непрерывности бизнеса
ISO 22301 описывает, как организация готовится к сбоям — отказу оборудования, потере площадки, недоступности информационных систем или ключевых подрядчиков — и как быстро возвращает критичные процессы в работу. Стандарт не требует исключить сбои, он требует заранее определить, что и в какие сроки нужно восстановить. Обязательного подтверждения по техническим регламентам ЕАЭС для него нет: сертификация добровольная. Ниже — что входит в систему, как проходит аудит и чем стандарт отличается от смежных.
Нет, обязательного сертификата ISO 22301 по техническим регламентам ЕАЭС не существует: это добровольная сертификация системы менеджмента аккредитованным органом. Документ подтверждает, что организация проанализировала риски прерывания деятельности, имеет планы восстановления и проверяет их на практике. Его запрашивают заказчики, банки и участники тендеров в рамках собственных требований.
- Начинаем с идентификации — рассматриваем состав, назначение и характеристики продукции
- Уточняем применимые требования и форму оценки для конкретной продукции
- Проверяем доказательства и согласуем состав работ после анализа исходных данных
- Подготовка документов и испытания определяются выбранной формой и схемой
- Состав работ, цену и срок согласуем после рассмотрения продукции
Сертификация добровольная. Стоимость зависит от численности персонала, числа площадок и сложности критичных процессов, поэтому считается индивидуально.
При замечаниях к документам сначала сопоставляем продукцию, применимые требования и доказательства. Возможность оформления зависит от результатов этой проверки.
Для нестандартной продукции обсуждаем характеристики, состав, назначение, особенности производства и применимые требования.
После идентификации определяем, требуется ли подтверждение соответствия и в какой форме. Отсутствие обязательного документа не означает, что любой товар требует отказное письмо.
Участие заявителя, лаборатории и органа по оценке соответствия определяется применимыми требованиями и выбранной схемой. Состав участников и работ уточняется для конкретной продукции.
01
Что такое система менеджмента непрерывности
Система менеджмента непрерывности деятельности — это набор политик, ролей, анализов и планов, которые позволяют организации продолжать выпуск продукции или оказание услуг при инцидентах и восстанавливаться после них. Стандарт ISO 22301 задаёт требования к такой системе, а рекомендации по её построению даёт сопутствующий стандарт ISO 22313.
Эту систему не следует путать с планом на случай чрезвычайной ситуации. Эвакуация людей и тушение пожара — часть реагирования, но непрерывность отвечает на другой вопрос: какие процессы нужно вернуть первыми, за какое время и с какими ресурсами.
02
Правовой режим: обязательна ли сертификация
Для ISO 22301 нет обязательной формы подтверждения по техническим регламентам ЕАЭС, и сама по себе сертификация не требуется законом. Документ добровольный: его выдаёт орган по сертификации систем менеджмента по результатам аудита, а потребность возникает из договора, правил закупок или внутренней политики заказчика.
Отдельные отрасли могут иметь собственные требования к непрерывности деятельности, которые устанавливают регуляторы. Они действуют независимо от сертификата ISO: выполнение отраслевых требований сертификатом не подменяется, как и наоборот. Применимые акты определяют по виду деятельности организации.
03
Из чего состоит система
| Элемент | Что делает организация |
| Анализ воздействия на бизнес | Определяет критичные процессы, допустимое время простоя и необходимые ресурсы |
| Оценка рисков | Выявляет угрозы прерывания и уязвимые места |
| Стратегии и решения | Выбирает способы сохранить или восстановить процессы |
| Планы и процедуры | Описывает действия при инциденте, роли и порядок коммуникации |
| Учения и проверки | Проверяет, что планы работают, и фиксирует результаты |
| Улучшение | Вносит изменения по итогам инцидентов, учений и аудитов |
04
Редакции и национальный стандарт
Актуальная международная редакция — ISO 22301:2019. В России действует ГОСТ Р ИСО 22301-2021, идентичный международному стандарту; он введён с 1 января 2022 года и заменил ГОСТ Р ИСО 22301-2014. Если заказчик ссылается на более раннюю редакцию, уточните, принимает ли он документ по текущей версии.
Стандарт построен по единой структуре стандартов на системы менеджмента, поэтому его удобно совмещать с ISO 9001, ISO 27001 и другими в интегрированной системе.
05
Кому нужна сертификация
- организациям, у которых простой дорого обходится: производству, логистике, энергетике;
- организациям, оказывающим ИТ-услуги, и центрам обработки данных;
- финансовым и торговым компаниям с жёсткими сроками исполнения обязательств;
- компаниям, работающим с крупными заказчиками, которые запрашивают подтверждение готовности к сбоям;
- организациям, которые хотят упорядочить действия при инцидентах независимо от сертификата.
Для расчёта нужны характеристики продукции, применимые требования и объём испытаний. Стоимость и срок согласуем после рассмотрения этих данных.
06
Как проходит сертификация
Аудитор оценивает не только наличие планов, но и то, что они опираются на анализ, назначены ответственные, а учения действительно проводились. Поэтому система должна поработать до внешнего аудита.
- Определить область системы и ответственных.
- Провести анализ воздействия на бизнес и оценку рисков.
- Выбрать стратегии непрерывности и разработать планы.
- Провести учения и зафиксировать результаты.
- Выполнить внутренний аудит и анализ со стороны руководства.
- Подать заявку в орган по сертификации, проверив его аккредитацию.
- Пройти аудит документации и аудит на площадках.
- Устранить несоответствия и получить сертификат.
- Проходить надзорные аудиты по графику, который определит орган.
07
Что подготовить и типичные ошибки
Типичные ошибки внедрения: планы написаны без анализа воздействия; все процессы объявлены критичными, и приоритеты размыты; планы не проверялись учениями; контакты и роли устарели; зависимость от подрядчиков и ИТ-систем не учтена. Такие недостатки аудитор выявляет при первом же сопоставлении плана с реальностью.
- перечень критичных процессов с допустимым временем восстановления;
- результаты анализа воздействия и оценки рисков;
- планы реагирования и восстановления, контакты ответственных;
- протоколы учений и проверок;
- записи внутреннего аудита и решения руководства.
08
Нормативные основания
- ISO 22301:2019 — требования к системам менеджмента непрерывности деятельности;
- ГОСТ Р ИСО 22301-2021 — национальный стандарт, идентичный ISO 22301:2019, введён с 01.01.2022;
- ISO 22313 — рекомендации по применению требований;
- технические регламенты ЕАЭС обязательного подтверждения системы менеджмента непрерывности не устанавливают.
Частые вопросы
Обязателен ли сертификат ISO 22301?
Нет, он не требуется техническими регламентами ЕАЭС и общими нормами: сертификация добровольная. Он нужен, если этого требует заказчик, банк или закупочная документация. Отраслевые регуляторы могут отдельно устанавливать требования к непрерывности — их выполняют независимо от наличия сертификата. Это сэкономит время и бюджет проекта.
Что подтверждает сертификат ISO 22301?
Что в организации работает система менеджмента непрерывности: проведён анализ воздействия и оценка рисков, разработаны и проверяются планы восстановления, назначены ответственные. Он не гарантирует, что сбоев не будет, и не заменяет сертификаты на продукцию или услуги. Решение о надёжности остаётся за самой организацией.
Чем ISO 22301 отличается от ISO 27001?
ISO 27001 защищает информацию: конфиденциальность, целостность и доступность. ISO 22301 охватывает непрерывность всей деятельности, включая людей, площадки, оборудование и подрядчиков, а ИТ-системы — лишь одна из зависимостей. Стандарты дополняют друг друга и совмещаются при общей структуре. Поэтому проект часто начинают с одного, а второй добавляют позже.
С чего начать внедрение ISO 22301?
С определения области и анализа воздействия на бизнес: какие процессы критичны, какое время простоя допустимо, какие ресурсы нужны. Затем оценивают риски, выбирают стратегии и пишут планы. Начинать с написания планов без анализа не стоит — они окажутся неприменимыми. Это позволяет сосредоточить ресурсы на главном.
Нужно ли проводить учения для сертификации?
Стандарт требует проверять решения и планы, поэтому записи об учениях и тестах аудитор ожидает увидеть. Формат — от разбора сценария за столом до практической отработки — организация выбирает исходя из рисков и масштаба. Важно зафиксировать выводы и внести улучшения. Решение о формате принимает руководство.
Какая редакция стандарта действует в России?
Национальный стандарт — ГОСТ Р ИСО 22301-2021, идентичный ISO 22301:2019; он введён с 1 января 2022 года вместо ГОСТ Р ИСО 22301-2014. Если заказчик указывает иную редакцию, уточните у него и у органа по сертификации условия признания документа. Это стоит отразить в договоре.
Можно ли совместить аудит ISO 22301 с другими стандартами?
Да, стандарты на системы менеджмента имеют общую структуру, поэтому аудит часто проводят совместно с ISO 9001, ISO 27001 или ISO 14001. Общие элементы — политику, документацию, внутренние аудиты — объединяют, а специфические требования проверяют отдельно. Экономия достигается за счёт одного аудита вместо нескольких.
Как выбрать орган по сертификации ISO 22301?
Проверьте аккредитацию и признание документов вашим заказчиком, возможность найти сертификат в реестре и опыт органа в вашей отрасли. Убедитесь, что аудит проводится на площадках, а не выдаётся заочно, и заранее выясните, документы каких органов принимает заказчик. Реестр органа позволяет заказчику самостоятельно проверить подлинность.
Расчёт по вашему товару
Хотите понять, потребуется ли вашему заказчику именно ISO 22301 и с чего начать подготовку? Расскажите о бизнесе и критичных процессах — обсудим план.
Отправьте специалистам REDICO описание товара, назначение, состав или характеристики и код ТН ВЭД. Проверим требования и предложим вариант оформления.
Что будет в ответе
- Предварительный перечень необходимых документов
- Сколько документов потребуется и можно ли объединить модели и артикулы
- Требования к испытаниям и образцам
- Из чего складывается стоимость, этапы и ориентировочные сроки
Окончательный состав зависит от характеристик продукции и полноты исходных данных.