Сертификация ГОСТ Р ИСО 22301-2021 в Барнауле

Сертификация ГОСТ Р ИСО 22301-2021 — коммерческая услуга по подтверждению соответствия системы менеджмента непрерывности деятельности требованиям стандарта. Она помогает подготовить компанию к сбоям и инцидентам, пройти аудит и подтвердить готовность к непрерывной работе критичных процессов.

В каталоге Росстандарта ГОСТ Р ИСО 22301-2021 указан действующим. Международная редакция ISO 22301:2019 дополнена поправкой 1:2024; проект следующего издания находится в разработке. Эта страница описывает российскую процедуру по ГОСТ Р, а международная сертификация ISO оформляется отдельно. Перед заказом согласуйте требуемый стандарт и редакцию с заказчиком.

«Реестр Гарант» проводит диагностику, помогает внедрить систему менеджмента непрерывности деятельности (BCMS) и сопровождает сертификационный аудит. Проект подходит компаниям, которым сертификат нужен для тендера, требований заказчика или выстраивания процессов реагирования на простои и инциденты.

В услугу входят:

• оценка готовности и дорожная карта внедрения BCMS;
• разработка документов: политики непрерывности, отчёта BIA, реестра рисков и планов восстановления;
• обучение сотрудников, тесты и учения;
• внутренний аудит и подготовка к сертификационному аудиту;
• сопровождение аудита до решения органа по сертификации.

Базовое сопровождение аудита стоит от 11 000 ₽. Внедрение BCMS, проекты для группы компаний и работы на нескольких площадках рассчитываем отдельно.

Сроки зависят от текущей готовности процессов, числа площадок, границ системы и объёма работ. После диагностики согласуем план проекта, сроки этапов Stage 1 и Stage 2, а также порядок устранения замечаний. Ускоренный график можно обсудить, если сертификат требуется к тендерному дедлайну; срок при этом зависит от фактической готовности системы.

Чтобы обсудить задачу, позвоните: +7 920-898-17-18. Регион работы, адрес офиса и формат взаимодействия уточняются при обращении.

Как проходит сертификация ГОСТ Р ИСО 22301-2021

Проект включает семь этапов: от определения границ BCMS до сертификационного аудита. Состав работ зависит от того, есть ли у компании анализ критичных процессов, планы восстановления и подтверждения их проверки.

1. Диагностика готовности и область применения

На первом этапе мы проводим интервью, изучаем процессы и ресурсы, определяем границы BCMS. Компания получает описание области применения, реестр процессов и оценку их критичности.

Область системы должна соответствовать реальной деятельности. Если исключить из неё процесс, от которого зависит выполнение обязательств перед клиентами, аудитор может выявить несоответствие. Границы обосновывают с учётом процессов и площадок, на которых выполняется критичная работа.

2. Анализ воздействия на бизнес и оценка рисков

Анализ воздействия на бизнес (BIA) показывает, какие процессы критичны, какое время простоя допустимо и какие параметры восстановления нужны. Параллельно команда оценивает риски и определяет меры управления ими.

Формальный BIA не даёт надёжной основы для планов: если компания не обосновала критичность процессов и целевые параметры восстановления, дальнейшие документы могут не соответствовать фактическим условиям работы. Мы фиксируем применяемую методику и основания для решений, чтобы компания могла использовать их при аудитах и пересмотре системы.

3. Стратегия и планы непрерывности

Компания определяет стратегию обеспечения непрерывности и разрабатывает планы реагирования и восстановления. В планах указывают целевые показатели RTO и RPO для сценариев, распределяют роли, фиксируют контакты, инструкции и шаблоны журналов.

Документ сам по себе не доказывает, что команда сможет действовать при сбое. Планы необходимо проверить тестами и учениями, а содержание инструкций связать с реальными действиями сотрудников.

4. Подготовка и обучение персонала

Команда настраивает порядок коммуникаций при инциденте и обучает сотрудников действиям в соответствии с их ролями. Подготовку подтверждают матрица компетенций, программы обучения и записи о тренингах.

Аудитор может спросить сотрудника, что ему делать при сбое. Если человек не знает своей роли, наличие подробного регламента не подтверждает работоспособность системы.

5. Тесты и учения

Сценарные тренировки, функциональные тесты и учения проверяют, как работают планы непрерывности. Команда фиксирует результаты в протоколах и назначает корректирующие действия по выявленным слабым местам.

Проверка показывает, какие части плана требуют доработки и может ли команда выполнить предусмотренные действия. Результаты тестов становятся доказательством того, что компания проверяет эффективность планов, а не только хранит их.

6. Внутренний аудит и анализ со стороны руководства

Внутренний аудит проверяет выполнение требований стандарта и результативность BCMS. Для него готовят программу и отчёты, а руководство фиксирует решения по системе в протоколе анализа со стороны руководства (management review).

Пропуск этих этапов часто приводит к доработкам после Stage 1. Внутренний аудит и анализ руководства помогают выявить проблемы до сертификационной проверки.

7. Сертификационный аудит и выдача сертификата

Мы готовим компанию к Stage 1 и Stage 2, помогаем взаимодействовать с органом по сертификации и закрывать замечания. Решение о выдаче сертификата принимает орган по результатам аудита.

Результатом может стать сертификат ГОСТ Р ИСО 22301-2021 в российской системе. Международную сертификацию по ISO 22301:2019 оформляют отдельно через партнёра. Это разные процедуры, поэтому формат следует выбрать до начала проекта, исходя из требований тендерного заказчика или контрагента.

Получить план проекта и смету: +7 920-898-17-18.

Сценарии применения BCMS в разных отраслях

Сертификация ГОСТ Р ИСО 22301-2021 подходит компаниям, где простой критичного процесса создаёт финансовые потери, нарушает договорные обязательства или мешает выполнить требования заказчика.

Банки и финансовый сектор

Для финансовой организации важны восстановление платёжных сервисов и доступность клиентских операций. Банк России устанавливает отраслевые требования к непрерывности в кредитно-финансовой сфере; BCMS можно связать с управлением информационной безопасностью и реагированием на инциденты.

Сертификат подтверждает заказчикам и партнёрам, что организация системно управляет критичными сервисами. Он не заменяет отраслевые требования регулятора.

Дата-центры и ИТ-сервисы

Для дата-центров и ИТ-провайдеров непрерывность зависит от резервирования, испытаний отказоустойчивости и учёта инцидентов. Планы восстановления связывают с показателями SLA: превышение согласованного порога простоя может повлечь договорные потери.

BCMS помогает описать метрики восстановления и регулярно проверять планы. Результаты фиксируют в отчётах и протоколах тестирования.

Производство и логистика

Производственные и логистические компании анализируют риски остановки участков и разрыва цепочек поставок. В планах предусматривают альтернативных поставщиков, ручные операции при отказе систем и порядок коммуникаций с клиентами и партнёрами.

Если критичные процессы распределены между несколькими площадками, общую методологию дополняют локальными планами для каждой из них.

Ритейл и e-commerce

Отказ POS-терминалов или складских систем во время пиковых нагрузок угрожает продажам и обслуживанию клиентов. Планы могут включать резервные каналы продаж, порядок работы касс при сбое и информирование покупателей.

Учения позволяют проверить такие сценарии до сертификационного аудита.

Обязательна ли сертификация ГОСТ Р ИСО 22301-2021

Сертификация по ГОСТ Р ИСО 22301-2021 добровольна, если обязанность не следует из условий конкретного договора, закупки или отдельного отраслевого требования. Последствия отсутствия сертификата зависят от требований заказчика. Сам стандарт не заменяет специальные требования к информационной безопасности и непрерывности, установленные для отдельных организаций.

Система менеджмента непрерывности не подтверждает сама по себе выполнение требований по защите информации или специальных отраслевых требований. Если заказчику нужны такие подтверждения, их проверяют отдельно по применимым нормативным актам и правилам.

Перед началом проекта уточните, какой документ указан в требованиях заказчика. Сертификат в российской системе и международная сертификация по ISO 22301:2019 относятся к разным процедурам.

Органы по сертификации в национальной системе аккредитует Росаккредитация в соответствии с Федеральным законом № 412-ФЗ «Об аккредитации в национальной системе аккредитации». До аудита проверьте статус органа и наличие у него действующей области аккредитации, соответствующей сертификации по ГОСТ Р ИСО 22301-2021. Порядок проверки выданного сертификата и его внесения в реестр уточняют у выбранного органа.

От чего зависит стоимость сертификации

Цена зависит от масштаба компании, числа площадок, зрелости процессов и состава работ. На расчёт также влияют формат сертификации, срочность и объём сопровождения: от подготовки к аудиту до внедрения BCMS под ключ.

Цена от 11 000 ₽ относится к базовому сопровождению аудита, а не к внедрению BCMS под ключ. Итоговую смету составляем после оценки готовности системы и объёма работ.

Пришлите сведения о компании и задаче, чтобы рассчитать стоимость и сроки: +7 920-898-17-18.

Документы и данные для начала проекта

Для первичной оценки понадобятся сведения о компании, предполагаемая область сертификации и информация о критичных процессах. Если документы уже подготовлены, их можно использовать при диагностике и определить, какие элементы BCMS требуют доработки.

В проекте могут потребоваться:

• карточка компании и описание области сертификации;
• перечень критичных процессов, договоров и требований заказчика;
• политика и цели в области непрерывности деятельности;
• реестр процессов и ресурсов с оценкой критичности;
• отчёт BIA и реестр рисков с мерами управления;
• планы непрерывности и восстановления с показателями RTO и RPO;
• протоколы тестирования, журналы учений и инцидентов;
• записи об обучении и корректирующих действиях;
• отчёты внутреннего аудита и протокол анализа со стороны руководства.

Точный состав зависит от области системы и исходного уровня готовности компании. Документы должны описывать реальные процессы и подтверждаться записями о проверках и учениях.

Пример из практики

Клиент из производственной компании планировал участие в тендере, где требовался сертификат по непрерывности деятельности. У компании было несколько площадок и критичные цепочки поставок, поэтому риск простоя одного звена ставил под удар весь проект.

Мы начали с диагностики и определения области применения, затем выполнили BIA по узким местам, разработали планы обеспечения непрерывности и восстановления, провели обучающее учение и внутренний аудит. После этого сопроводили сертификационный аудит и закрыли замечания. На выходе клиент получил сертификат ГОСТ Р ИСО 22301-2021, подтвердил готовность процессов и получил допуск к тендеру.

Какие документы понадобились в проекте:

• политика и цели в области непрерывности деятельности;
• реестр процессов и ресурсов с оценкой критичности;
• отчёт по анализу воздействия на бизнес (BIA);
• реестр рисков и мер управления;
• планы реагирования и восстановления с показателями RTO и RPO;
• протоколы тренингов и тестов, журнал инцидентов;
• отчёты внутреннего аудита и протокол анализа со стороны руководства.