Внедрение и сертификация по стандарту ISO 22301 (ГОСТ Р ИСО 22301-2021) в России

Международный стандарт ISO 22301 устанавливает жесткие требования к системе менеджмента непрерывности деятельности (Business Continuity Management System, BCMS). В России официально действует идентичная ему национальная версия — ГОСТ Р ИСО 22301-2021. Сертификация по этому нормативу является добровольной. Эксперты «Реестр Гарант» готовят всю документацию, обучают команду, проводят внутренний аудит и сопровождают вас на финальной проверке в аккредитованном органе. Базовый пакет работ начинается от 10 900 ₽.

Что такое система непрерывности деятельности и зачем она бизнесу?

Документ ISO 22301:2019 детально описывает, как организовать процессы компании так, чтобы они не останавливались при авариях, киберинцидентах, перебоях в цепочках поставок и других кризисах (а в случае остановки — максимально быстро восстанавливались до целевых показателей). Этот стандарт относится к семейству Security and resilience и органично совмещает управление рисками, готовность к инцидентам, алгоритмы восстановления и регулярные практические учения.

Внедрение BCMS помогает бизнесу зафиксировать критичную область работы, провести оценку воздействия на бизнес (BIA), определить приоритетные процессы, установить целевые сроки восстановления (RTO/RPO) и ресурсные профили. На основе этих данных готовится План обеспечения непрерывности бизнеса (BCP). В результате компания радикально снижает убытки от внезапного простоя, выполняет жесткие SLA-требования клиентов и упрощает процесс страхового урегулирования.

Для ИТ-сектора, банков, телеком-операторов и крупных производств наличие сертифицированной системы сегодня становится базовым договорным требованием (заказчики включают его в тендеры как главный критерий устойчивости партнера). Внутри крупных холдингов BCMS часто интегрируется с ISO 9001 (качество) и ISO 27001 (информационная безопасность). Однако важно помнить: процедуры оценки у них разные, и сертификаты выдаются отдельно.

Версии стандарта: что изменилось в редакциях 2019/2021 годов?

Актуальная международная редакция документа — ISO 22301:2019. В России действует полностью идентичный ей ГОСТ Р ИСО 22301-2021. Ранее применялся устаревший ГОСТ Р ИСО 22301-2014 (базировавшийся на версии 2012 года), но сейчас он официально заменен. Сегодня сертификация проводится исключительно по актуальному изданию; переход на старые требования не допускается.

Главные изменения версии 2019 года (по сравнению с 2012):

• Структура стандарта приведена к единой модели Annex SL (что упрощает интеграцию с другими системами менеджмента).
• Существенно усилены требования к анализу контекста организации и лидерству руководства.
• Часть процедурных требований стала менее бюрократичной и больше ориентирована на фактический результат.
• Уточнены формулировки BIA и логика планирования восстановления.
• Добавлены мощные акценты на мониторинг KPI готовности и оценку реальной эффективности проведенных учений.

Важный нюанс: существует смежный документ — ISO 22313. Он выполняет роль методического руководства по внедрению. По нему не проводят сертификацию, но он дает отличные практические рекомендации по интерпретации сухих требований. Мы активно опираемся на него при проектировании регламентов и сценариев учений для наших клиентов.

Как проходит сертификация в России и что дает документ?

Процедура является добровольной. Легитимный сертификат выдает независимый орган, аккредитованный в национальной системе (реестр Росаккредитации). Результаты проверки вносятся в открытый реестр органа, а сам итоговый документ безоговорочно признается контрагентами как доказательство наличия у вас работающей BCMS.

Стандартный маршрут включает 5 этапов:

1. Диагностика готовности. Мы оцениваем ваш контекст, область сертификации, зрелость процессов BIA/BCP, наличие журналов учений и метрик готовности. Итог — подробный план доработок.
2. Разработка и внедрение. Пишем Политику непрерывности, распределяем роли, прописываем методики анализа рисков, планы восстановления, регламенты учений и планы коммуникаций при ЧС.
3. Внутренний аудит. Проверяем систему на прочность, проводим корректирующие действия и оформляем протокол решения руководства о готовности к внешней проверке.
4. Сертификационный аудит. На Этапе 1 инспектор дистанционно оценивает документы. На Этапе 2 идет жесткая проверка на практике: интервью, выборочные оценки проведенных учений и процесса управления инцидентами.
5. Выдача сертификата и надзор. Документ оформляется на трехлетний цикл. В течение этого времени орган будет проводить ежегодные надзорные аудиты для подтверждения статуса.

Как подготовить BCMS: BIA, анализ рисков и планы BCP

Реальная готовность к аудиту определяется тем, работают ли ключевые элементы системы в заявленной области сертификации. Ниже приведена базовая архитектура, которой мы придерживаемся при подготовке компаний:

• Контекст и область. Четкая формулировка периметра (юрлица, площадки, ИТ‑сервисы, подрядчики) и требований стейкхолдеров.
• Лидерство. Утвержденная Политика, назначение координатора BCMS и владельцев процессов (с полномочиями на экстренный запуск планов BCP).
• Оценка воздействия на бизнес (BIA). Самый важный этап: установка критериев критичности, целевого времени восстановления (RTO/RPO), ресурсных профилей (люди, серверы, поставщики) и приоритизация процессов.
• Анализ рисков. Идентификация угроз, оценка их вероятности и выбор оптимальных стратегий обеспечения непрерывности.
• Планы BCP и восстановления. Конкретные роли и действия по сценариям, адреса альтернативных площадок (резервных ЦОДов), порядок переключения и возврата к нормальной работе.
• Учения и испытания. Жесткий график DRP-тестов, критерии их успеха и послесобытийные отчеты. Без проведенных учений получение сертификата невозможно.
• Мониторинг KPI. Отслеживание доступности ресурсов, RTO/RPO и периодический пересмотр BIA.

Важный нюанс: Связка BIA с общекорпоративным управлением рисками критически важна. Когда матрица рисков наглядно отражает сценарии BCP, решения по оплате резервных серверов или контрактов с альтернативными поставщиками становятся понятными для финансового директора. Это усиливает не только непрерывность (continuity), но и общую устойчивость бизнеса (resilience).

ГОСТ Р ИСО 22301-2021 или ISO 22301:2019: что выбрать?

По своему содержанию российский ГОСТ Р является абсолютно идентичным переводом международного оригинала. Различие кроется только в статусе и языке документа. Для прохождения аудита внутри России и участия в отечественных госзакупках подавляющее большинство компаний выбирает сертификат ГОСТ Р ИСО 22301-2021.

Однако внешние рынки и иностранные партнеры часто запрашивают сертификат ISO 22301:2019 на английском языке. Мы поможем вам выбрать оптимальную связку документов: например, национальный сертификат для работы в РФ и англоязычное приложение к нему для международных тендеров. (Подробный разбор разницы между этими системами читайте в нашей статье ISO и ГОСТ: в чём разница стандартов).

Сколько стоит сертификация и от чего зависит цена?

У нас абсолютно прозрачная схема: базовая стоимость сопровождения начинается от 10 900 ₽. Итоговая цена всегда зависит от сложности заявленной области сертификации, объема необходимых доработок процессов и прайса выбранного органа. Мы жестко фиксируем состав работ в договоре и бесплатно поддерживаем вашу команду в течение 6 месяцев.

Как избежать отказа на аудите: контрольный лист

Отказ в выдаче сертификата (или получение крупных несоответствий) в 90% случаев связан не с «некрасивым форматом документов», а с физическим отсутствием ключевых элементов системы. Мы исключаем эти ловушки еще на стадии подготовки.

• BIA отсутствует или сделан формально. Инспектор всегда ищет математическую связь между критичностью сервиса, целевым временем (RTO) и стратегией восстановления. Без этого планы считаются необоснованными.
• Учения не проводились. Бумажные планы не проверялись в реальных «боевых» условиях. Нет отчетов о сбоях и корректирующих действий.
• Не установлены метрики RTO/RPO. Нет цифрового мониторинга и прозрачной отчетности для топ-менеджмента.
• Слабая вовлеченность директората. Политика не подписана, владельцы процессов не назначены, бюджет на резервные серверы не выделен.
• Хаос в документах. Несогласованные версии регламентов, отсутствие доступов у дежурных смен, нет бэкапов самой документации.