ISO 28000: система менеджмента безопасности цепи поставок
ISO 28000 — международный стандарт на систему менеджмента безопасности: организация выявляет угрозы своей деятельности и грузам, оценивает риски и выстраивает меры контроля. Исторически он был посвящён цепи поставок, поэтому с логистикой, складами и перевозками его связывают до сих пор. Обязательным подтверждением по техническим регламентам ЕАЭС он не является: сертификат выдаётся добровольно, по инициативе организации или по требованию заказчика. Ниже — что именно подтверждается, чем редакции стандарта отличаются и как проходит аудит.
Нет, сертификат ISO 28000 по техническим регламентам ЕАЭС не обязателен: это добровольная сертификация системы менеджмента, которую проводит аккредитованный орган по сертификации систем. Документ подтверждает не безопасность товара, а то, что в организации работает система управления рисками безопасности. Его запрашивают заказчики, перевозчики и участники тендеров, если это прописано в их требованиях.
- Начинаем с идентификации — рассматриваем состав, назначение и характеристики продукции
- Уточняем применимые требования и форму оценки для конкретной продукции
- Проверяем доказательства и согласуем состав работ после анализа исходных данных
- Подготовка документов и испытания определяются выбранной формой и схемой
- Состав работ, цену и срок согласуем после рассмотрения продукции
Сертификация добровольная. Стоимость и объём аудита зависят от числа площадок, численности персонала и сложности логистических процессов, поэтому считаются индивидуально.
При замечаниях к документам сначала сопоставляем продукцию, применимые требования и доказательства. Возможность оформления зависит от результатов этой проверки.
Для нестандартной продукции обсуждаем характеристики, состав, назначение, особенности производства и применимые требования.
После идентификации определяем, требуется ли подтверждение соответствия и в какой форме. Отсутствие обязательного документа не означает, что любой товар требует отказное письмо.
Участие заявителя, лаборатории и органа по оценке соответствия определяется применимыми требованиями и выбранной схемой. Состав участников и работ уточняется для конкретной продукции.
01
Что подтверждает ISO 28000 и где проходит граница
Стандарт устанавливает требования к системе менеджмента безопасности. Организация определяет, какие угрозы возможны в её деятельности, какие активы, грузы и процессы им подвержены, и какие меры нужны, чтобы риски оставались управляемыми. Речь идёт о системе, а не о продукции: сертификат не свидетельствует, что перевозимый или хранимый товар безопасен, и не заменяет ни сертификат, ни декларацию соответствия на сам товар.
- входит в область: процессы, площадки и функции, по которым организация описала риски безопасности и меры контроля;
- не входит: оценка продукции по техническим регламентам, таможенные процедуры и статусы, лицензии и разрешения на отдельные виды деятельности;
- не заменяет требования, установленные для конкретных грузов или видов транспорта, — они действуют независимо от сертификата.
02
Обязателен ли сертификат: правовой режим
Для ISO 28000 нет обязательной формы подтверждения по техническим регламентам ЕАЭС. Сертификация системы менеджмента добровольна: её проводит орган по сертификации систем менеджмента, а требование о наличии сертификата возникает из договора, правил закупки или внутренних стандартов заказчика. Если в тендерной документации указан ISO 28000, это условие участия, а не норма закона.
На практике у документа три источника спроса: требование крупного заказчика или перевозчика, собственное решение организации упорядочить защиту грузов и объектов, а также подтверждение уровня сервиса при выходе на новые рынки.
03
Редакции стандарта и национальные аналоги
Редакция 2007 года описывала систему для цепи поставок. Редакция ISO 28000:2022 названа «Безопасность и устойчивость. Системы менеджмента безопасности. Требования», построена по единой структуре стандартов на системы менеджмента и применима к организациям любого типа и размера. Это упрощает совместную работу с ISO 9001 и другими системами.
В России прежним национальным документом был ГОСТ Р 53663-2009, а национальная редакция, согласованная с обновлённым стандартом, существует как ГОСТ Р ИСО 28000-2025. Какую именно редакцию применять и в какой срок переходить, определяют требования заказчика и условия органа по сертификации — уточняйте это до начала проекта.
| Редакция | Что учитывать |
| ISO 28000:2007 и ГОСТ Р 53663-2009 | Прежняя схема, ориентированная на цепь поставок; применимость к новым сертификатам уточняйте у органа |
| ISO 28000:2022 | Современная структура, область применения шире логистики; ориентир при новых проектах |
| ГОСТ Р ИСО 28000-2025 | Национальная редакция; перед ссылкой в документах проверьте её статус и степень соответствия |
04
Кому нужна сертификация
- транспортно-логистическим компаниям и экспедиторам;
- операторам складов и терминалов;
- производителям, чья продукция идёт через сложные цепочки поставок;
- организациям, перевозящим ценные, чувствительные или легко повреждаемые грузы;
- участникам тендеров, где указан ISO 28000 или аналогичное требование.
05
Что проверяет аудитор
- определение области, площадок и заинтересованных сторон;
- оценку угроз и рисков безопасности и обоснование принятых мер;
- управление доступом на площадки, к документам и грузам;
- взаимодействие с подрядчиками и перевозчиками по вопросам безопасности;
- планы действий при инцидентах и их отработку;
- внутренние аудиты, анализ руководством и корректирующие действия;
- записи, подтверждающие, что система работает на практике.
Для расчёта нужны характеристики продукции, применимые требования и объём испытаний. Стоимость и срок согласуем после рассмотрения этих данных.
06
Порядок получения сертификата
- Определить область: виды деятельности, площадки, функции.
- Выявить угрозы и оценить риски безопасности.
- Разработать политику, процедуры и меры контроля.
- Запустить систему и накопить записи.
- Провести внутренний аудит и анализ руководством.
- Выбрать орган по сертификации, проверив его аккредитацию.
- Пройти аудит документации и аудит на площадках.
- Устранить выявленные несоответствия.
- Получить сертификат и проходить надзорные аудиты в сроки, которые установит орган.
07
Что подготовить и типичные ошибки
Ошибки при внедрении повторяются: область описана шире, чем фактически контролируется; оценка рисков скопирована с шаблона и не отражает реальные площадки; подрядчики и перевозчики остались вне системы; планы реагирования ни разу не отрабатывались. Эти слабые места аудитор видит быстрее всего.
- реестр площадок, процессов и подрядчиков, входящих в область;
- перечень угроз, оценку рисков и план мер;
- политику безопасности и назначенных ответственных;
- записи об инцидентах, проверках и учениях;
- результаты внутреннего аудита.
08
Нормативные основания
- ISO 28000:2022 — международный стандарт на системы менеджмента безопасности;
- ГОСТ Р ИСО 28000-2025 — национальная редакция, статус и соответствие проверяйте по официальным источникам;
- ГОСТ Р 53663-2009 — прежний национальный стандарт на систему менеджмента безопасности цепи поставок;
- ГОСТ Р ИСО 28003-2019 — требования к органам, проводящим аудит и сертификацию (относится к прежней редакции 2007 года);
- технические регламенты ЕАЭС на ISO 28000 обязательного подтверждения не устанавливают.
Частые вопросы
Нужен ли сертификат ISO 28000 для логистической компании?
Обязательного требования в техрегламентах ЕАЭС нет, сертификация добровольная. Он становится необходимым, если его требует заказчик, перевозчик или закупочная документация. Перед проектом уточните у контрагента, какая редакция стандарта и какие органы по сертификации его устраивают, чтобы не оформить документ, который не примут. Это сэкономит время и бюджет.
Чем ISO 28000 отличается от ISO 9001?
ISO 9001 описывает систему менеджмента качества, а ISO 28000 — систему менеджмента безопасности: угрозы, доступ, защиту грузов и объектов, реагирование на инциденты. Оба стандарта построены по общей структуре, поэтому процедуры внутреннего аудита, управления документами и анализа руководством можно объединить в интегрированную систему. Такая интеграция сокращает документооборот.
Подтверждает ли сертификат ISO 28000 безопасность самого груза?
Нет. Он подтверждает, что в организации работает система управления рисками безопасности. Соответствие продукции требованиям техрегламентов подтверждается отдельными документами на товар — сертификатом или декларацией, если они предусмотрены для этой продукции, — и сертификат системы менеджмента их не заменяет. Поэтому для контрагента важно видеть оба документа, если они требуются.
Какую редакцию стандарта выбрать: 2007 или 2022?
Для новых проектов ориентируются на актуальную редакцию ISO 28000:2022 и согласованную с ней национальную редакцию. Если заказчик ссылается на прежний ГОСТ Р 53663-2009 или версию 2007 года, уточните у него и у органа по сертификации, примут ли документ по новой редакции, и условия перехода. Решение лучше зафиксировать в договоре.
Что аудитор проверяет на площадке?
Как фактически работают меры безопасности: контроль доступа, обращение с грузами и документами, взаимодействие с подрядчиками, действия при инцидентах. Проверяют и записи — результаты оценок рисков, учений, внутренних аудитов. Поэтому до обращения в орган систему запускают и дают ей поработать. Это определяет и состав подготовительных работ.
Заменяет ли сертификат ISO 28000 таможенные статусы или лицензии?
Нет. Таможенные статусы, лицензии и разрешения на отдельные виды деятельности подтверждаются в своём порядке по требованиям законодательства. Сертификат системы менеджмента — добровольный документ, он может быть дополнительным аргументом для заказчика, но не освобождает от обязательных процедур. Каждый такой документ оформляется по своим правилам и у своего органа.
Можно ли объединить аудит ISO 28000 с другими стандартами?
Да, при единой структуре стандартов часто проводят совместный аудит с ISO 9001, ISO 14001, ISO 45001 или ISO 27001. Общие элементы — политика, управление документами, внутренние аудиты — не дублируют, а специфические требования каждого стандарта проверяют отдельно. Подробности сочетания — в статье об интегрированных системах.
Как выбрать орган по сертификации ISO 28000?
Проверьте аккредитацию органа и признание его документов вашим заказчиком, наличие сертификата в проверяемом реестре и опыт в логистике. Убедитесь, что предусмотрен аудит на площадках, а не заочная выдача. Заранее выясните у заказчика, документы каких органов он принимает. Реестр органа позволяет заказчику самостоятельно проверить подлинность документа.
Расчёт по вашему товару
Нужно понять, требует ли ваш заказчик именно ISO 28000 и как подготовить систему к аудиту? Опишите вид деятельности и площадки — подскажем, с чего начать.
Отправьте специалистам REDICO описание товара, назначение, состав или характеристики и код ТН ВЭД. Проверим требования и предложим вариант оформления.
Что будет в ответе
- Предварительный перечень необходимых документов
- Сколько документов потребуется и можно ли объединить модели и артикулы
- Требования к испытаниям и образцам
- Из чего складывается стоимость, этапы и ориентировочные сроки
Окончательный состав зависит от характеристик продукции и полноты исходных данных.