Сертификат ISO 22301: непрерывность деятельности

Сервер восстановили, но клиентский сервис всё ещё не работает: недоступны сотрудники, поставщик или помещение. Сертификат ISO 22301 относится к системе менеджмента непрерывности деятельности, которая связывает эти зависимости с приоритетами и планами восстановления. Он подтверждает соответствие системы в определённой области, а не обещает отсутствие любых сбоев.

Сертификация добровольная; универсальной обязанности получать ISO 22301 для каждой компании нет. Требование может исходить от конкретного заказчика или закупки. Отраслевые обязанности проверяют отдельно: сертификат не заменяет их. Ниже — как подготовить систему к аудиту и проверить, что документ охватывает нужные услуги и площадки. Актуально на октябрь 2026 года.

Действующие ISO 22301 и российский ГОСТ

Международный ISO 22301:2019 «Security and resilience — Business continuity management systems — Requirements» устанавливает требования к системе менеджмента непрерывности бизнеса. В отличие от руководства по менеджменту риска ISO 31000, это стандарт, по которому проводят сертификацию системы.

Российский ГОСТ Р ИСО 22301-2021 «Надежность в технике. Системы менеджмента непрерывности деятельности. Требования» действует с 1 января 2022 года и заменил ГОСТ Р ИСО 22301-2014. Он соответствует ISO 22301:2019. При заказе согласуют, какая версия и система сертификации нужны получателю документа; национальное и международное обозначения не следует менять произвольно.

У международной версии есть поправка Amd 1:2024 «Climate action changes». Она добавляет рассмотрение значимости изменения климата в контексте системы и примечание о связанных требованиях заинтересованных сторон. Это не новая самостоятельная версия «ISO 22301:2024». Международную поправку нельзя автоматически приписывать тексту российского ГОСТ 2021 года без проверки его изменений.

Кому нужна система непрерывности

Практическая ценность зависит от последствий остановки. Для ИТ-провайдера важны доступность сервиса и восстановление обслуживания; для логистики — выполнение приоритетных операций при потере склада или подрядчика; для производства — ресурсы, необходимые для возобновления выпуска. Финансовым и телекоммуникационным организациям тоже важно оценивать зависимости, но это не доказывает обязательность сертификата для всей отрасли.

Если документ нужен для тендера, выпишите точное требование: стандарт, область, площадки, статус органа и допустимый формат. Сертификат на административный офис не обязательно охватывает дата-центр или производство. Обсудить выбор можно в разделе сертификация систем менеджмента.

Система должна помогать продолжать и восстанавливать деятельность на заранее определённом приемлемом уровне. Это не всегда обычная полная производительность. Компания может установить временные приоритеты обслуживания, но должна заранее обосновать, какие операции и ресурсы нужны в период нарушения.

BIA: последствия остановки важнее списка отделов

Анализ воздействий на деятельность, или BIA, определяет, как меняются последствия перерыва во времени. Рассматривают виды деятельности, поддерживающие продукцию и услуги, критерии воздействия, необходимые ресурсы и зависимости. Результат помогает выбрать приоритеты восстановления.

Не ограничивайтесь перечнем «ИТ, продажи, бухгалтерия». Для каждой операции установите:

• Какую услугу или результат она поддерживает и какие обязательства затрагивает её остановка.
• Когда последствия невозобновления становятся неприемлемыми.
• К какому более раннему сроку нужно восстановить деятельность на минимально приемлемом уровне.
• Какие люди, данные, помещения, оборудование и поставщики необходимы.
• Какие другие операции зависят от неё и какие условия нужны ей самой.

Максимально допустимый период прерывания и целевой срок восстановления — разные ориентиры. В практике их часто обозначают MTPD и RTO. Первый связан с границей неприемлемых последствий, второй — с целью восстановления до её достижения. Нельзя назначить одинаковое время всем процессам только ради заполнения формы.

Для ИТ-зависимых операций дополнительно рассматривают допустимую потерю данных и точку восстановления, часто обозначаемую RPO. Это другой вопрос, чем время возвращения сервиса. Наличие резервной копии не доказывает ни своевременное восстановление, ни возможность продолжить бизнес-операцию.

Риски, стратегии и решения

После анализа воздействий оценивают риски прерывания приоритетной деятельности: потерю площадки, ресурса, связи, поставщика или доступности персонала. BIA отвечает, насколько важен перерыв и когда последствия становятся неприемлемыми; оценка риска помогает разобрать причины и сценарии. Это связанные, но разные работы.

Стратегии переводят выводы в решения: альтернативная площадка, замещение ролей, резервирование, договорённость с поставщиком, временный порядок выполнения операции. Выбранные меры должны обеспечивать нужный уровень деятельности в целевые сроки. Покупка резервного сервера сама по себе этого не подтверждает.

Проверьте доступность ресурса во время того же инцидента. Основной и резервный каналы могут зависеть от общей инфраструктуры, два поставщика — от одного склада, а ключевой сотрудник и его заместитель — находиться на недоступной площадке. В оценке полезно показывать такие общие зависимости.

Что должно быть в плане и как его проверить

План связывает конкретные действия с ролями и условиями запуска. Предусмотрите команду реагирования и замещение участников, полномочия принимать решения, каналы связи, необходимые ресурсы, отчётность и порядок завершения временного режима. Документ должен быть доступен, когда обычная система хранения недоступна.

Условный пример: компания потеряла доступ к системе обработки заявок. Для выбранной области нужно заранее определить критерий активации, кто принимает решение, какие обращения обслуживают первыми, как организуют временный приём, где находятся актуальные контакты и как возвращают данные в основной процесс. Это учебный сценарий, а не кейс клиента центра.

Программа учений проверяет стратегии, решения и действия участников. Можно начать с разбора сценария, затем проверить конкретное восстановление или коммуникацию. Все необходимые действия не обязательно проверяются одним масштабным учением, но программа должна давать подтверждения работоспособности согласованного подхода.

После проверки зафиксируйте результат: что выполнили, какие цели достигли, где обнаружены ограничения и что изменили. Утверждённый протокол без анализа не исправит неработающий канал связи. Периодичность учений планируют с учётом системы и изменений; нельзя называть обязательным для всех организаций одно учение в год по ISO 22301.

Документы для подготовки к сертификации

Перед заявкой соберите материалы по выбранной области. Аудитор должен увидеть работающую систему: документы, записи исполнения, результаты проверки и решения руководства. Отдельно обозначьте, какие площадки и процессы не входят в охват.

• Область системы, политика, цели и распределение ответственности.
• Анализ воздействий, приоритетные виды деятельности и критерии восстановления.
• Оценка рисков прерывания и обоснование выбранных стратегий.
• Планы реагирования, восстановления, связи и замещения ресурсов.
• Подтверждения компетенции и обучения участников.
• Программа учений, отчёты, анализ результатов и изменения.
• Внутренний аудит, анализ со стороны руководства и работа с несоответствиями.

Внутреннюю проверку и анализ руководством проводят до внешнего аудита. Если упражнение выявило невыполнимую цель, сначала разберите причину и необходимые изменения. Переписывание протокола не заменяет исправление решения или ресурса.

Кто выдаёт сертификат и как проходит аудит

ISO разрабатывает стандарты, но не выдаёт сертификаты компаниям. В разъяснении ISO различаются сертификация независимым органом и аккредитация, подтверждающая его компетенцию. До договора установите фактический орган, правила системы и его пригодность для требований заказчика. Нельзя выводить аккредитацию из названия посредника «центр сертификации».

Если заказчик требует аккредитованную сертификацию, проверьте орган и область его аккредитации. Для российского органа используйте реестр аккредитованных лиц на сайте Росаккредитации: сверяйте юридическое лицо, статус и область, относящуюся к нужной системе. Для зарубежного органа проверяют сведения соответствующего органа по аккредитации. Регистрация добровольной системы и частный реестр сертификатов не равнозначны аккредитации составителя.

Отсутствие аккредитации само по себе не означает поддельный документ, но такой результат может не отвечать условиям заказчика. До оплаты запросите правила выдачи, данные органа, область проверки и порядок подтверждения подлинности. Бланк без связи с действующим органом и доказательствами аудита не подтверждает заявленную систему.

При первоначальной сертификации в программе по ISO/IEC 17021-1 предусмотрены две стадии аудита. На первой рассматривают область, документацию и готовность к дальнейшей проверке. На второй оценивают внедрение и результативность системы по фактическим свидетельствам. Состав, продолжительность и допустимый формат аудита согласуют для конкретной организации.

При выявлении несоответствий нужны коррекция, анализ причин и корректирующие действия в применимом объёме. Решение о сертификации принимается по результатам оценки органом. Перед выдачей проверьте проект сертификата: наименование организации, стандарт, область, площадки, даты и данные составителя должны соответствовать согласованной задаче.

Стоимость, срок и поддержание сертификата

В прайсе центра услуга сертификации ISO 22301 указана от 9 000 ₽. Итоговый расчёт зависит от охвата, количества площадок, сложности деятельности и готовности системы. Перед заказом уточните, какие работы входят в сумму: аудит, подготовка материалов и сопровождение внедрения нельзя автоматически считать одним пакетом по стартовой цене.

Срок зависит от состояния системы, сбора записей, учений, готовности сотрудников и устранения несоответствий. Если система ещё не внедрена, нельзя честно обещать полноценную сертификацию только по анкете за один день. График подготовки и аудита согласуют после предварительной оценки.

В программах сертификации по ISO/IEC 17021-1 обычный цикл составляет три года; есть предусмотренные схемой особенности. В разъяснении European Accreditation указано, что срок или дата ресертификации на документе должны соответствовать сертификационному циклу. Условия надзора и ресертификации фиксируют заранее.

Надзорные аудиты в таком подходе проводят не реже одного раза в календарный год, кроме года ресертификации. Первый надзор после первоначальной сертификации по этому стандарту проводят не позднее 12 месяцев от решения о сертификации. Это не срок проведения учений и не стоимость ежегодной услуги. Уточните график, основание приостановления и порядок изменения области. Наличие бланка с будущей конечной датой не доказывает, что условия поддержания сертификата выполняются.

ISO 22301 и ISO 27001: что выбрать

ISO 22301 посвящён непрерывности деятельности: как продолжать и восстанавливать приоритетные операции при нарушении. ISO 27001 для информации относится к системе менеджмента информационной безопасности. Эти области связаны, но сертификат одной системы не заменяет сертификат другой.

Для ИТ-зависимых услуг результаты оценки информационных рисков помогают подготовить сценарии, а требования непрерывности — определить приоритеты восстановления. При совместном применении согласуют области и доказательства. Объединённый комплект политик не означает автоматической сертификации по двум стандартам.

Частые вопросы

Достаточно резервного копирования?

Нет. Для выбранной услуги нужны люди, полномочия, связи, ресурсы и подтверждённый порядок восстановления. Проверьте весь путь до приемлемого обслуживания клиента, а не только восстановление файла.

У компании уже есть ISO 9001 — нужна ли другая оценка?

Система по ISO 9001 имеет другой предмет — менеджмент качества. Если заказчик требует подтверждения непрерывности по ISO 22301, соответствие этому требованию рассматривают отдельно. Автоматической замены нет.

Сертификат гарантирует выполнение SLA?

Нет. Договорные показатели требуют собственных ресурсов и проверок. Сертификация системы помогает оценить подход в определённой области, но не гарантирует отсутствие нарушения при каждом возможном событии.

Первый шаг — сопоставить запрос заказчика с областью и состоянием вашей системы. Соберите результаты BIA и проверок планов; по ним можно определить объём подготовки. Уточните состав услуги через контакты центра сертификации.