Что такое ISO 22301
ISO 22301 — международный стандарт на систему управления непрерывностью бизнеса (BCMS). Действующая редакция — ISO 22301:2019 (с поправкой 2024 года в части климатических рисков). Он задает единые требования: как планировать, внедрять, проверять и улучшать способность компании продолжать работу при сбоях.
Стандарт построен по той же логике, что и другие стандарты ISO на системы менеджмента (например, ISO 9001), и работает по циклу PDCA — «планируй – делай – проверяй – улучшай».
Ключевые требования (разделы 4–10)
| Раздел | О чем |
|---|---|
| 4. Контекст | Понимание организации, заинтересованные стороны, область применения BCMS |
| 5. Лидерство | Роль высшего руководства, политика непрерывности, распределение ответственности |
| 6. Планирование | Цели непрерывности, работа с рисками и возможностями |
| 7. Поддержка | Ресурсы, компетенции, осведомленность, коммуникации, документы |
| 8. Функционирование | BIA, оценка рисков, стратегии и планы непрерывности, учения |
| 9. Оценка | Мониторинг, измерение, внутренний аудит, анализ со стороны руководства |
| 10. Улучшение | Работа с несоответствиями и постоянное совершенствование |
Смежные стандарты: ISO 22313 (руководство по внедрению ISO 22301) и ISO/IEC 27031 (готовность ИКТ к непрерывности).
Как внедрить: основные шаги
- Определить область применения и заручиться поддержкой руководства.
- Провести анализ воздействия на бизнес (BIA) и оценку рисков.
- Выбрать стратегии непрерывности и разработать планы (BCP).
- Обучить команду и провести учения.
- Запустить внутренние аудиты и анализ со стороны руководства.
Нужна ли сертификация в России
Сертификация необязательна для большинства компаний — но сама методология ISO 22301 полезна как каркас зрелой системы. Сертификат имеет смысл, если этого требуют контрагенты, тендеры, биржа или головная компания. Российский аналог по терминологии — серия ГОСТ Р по менеджменту непрерывности; принципы те же.
Стандарт и требования Банка России рядом
В России у компании обычно два источника требований, и они не противоречат друг другу. Международный стандарт задает управленческую рамку: цикл, роли, доказательства. Банк России в положениях об обеспечении непрерывности и восстановлении деятельности задает обязательный минимум для поднадзорных организаций — состав плана, сроки восстановления, порядок информирования.
На практике удобнее строить систему по стандарту, а требования регулятора закрывать как обязательный подраздел внутри нее. Обратный порядок — сначала выполнить предписание, потом «когда-нибудь» выстроить систему — приводит к папке документов, которая живет отдельно от компании. Что именно требует регулятор и как выглядит рабочий план, разобрано в материале ОНиВД и ПОНиВД.
В каком порядке внедряют
Порядок важнее скорости. Шаги, которые пропускают чаще всего, стоят потом дороже всего.
- Определить границы. Какие подразделения, площадки и процессы входят в систему. Попытка охватить все сразу — самая частая причина, по которой проект глохнет на третий месяц.
- Провести анализ воздействия. Без него приоритеты восстановления назначаются интуитивно — см. анализ воздействия на бизнес.
- Написать планы. Отдельно действия людей и отдельно восстановление систем: план непрерывности и план аварийного восстановления.
- Обучить и провести учения. Документ, который команда видит впервые в кризис, не работает — см. учения по непрерывности.
- Проверить и улучшить. Внутренний аудит, разбор учений, пересмотр целевых сроков. Это и есть замыкание цикла, ради которого стандарт написан.
Быстро понять текущее состояние до начала проекта помогают чек-лист готовности и стресс-тест непрерывности.
Что аудитор попросит показать
Соответствие подтверждают не текстами, а следами работы. Просят обычно одно и то же: утвержденные границы системы и политику с подписью руководства, результаты анализа воздействия с целевыми сроками, подтвержденными владельцами процессов, актуальные планы с датой последнего пересмотра, отчеты об учениях с перечнем выявленных недостатков и, главное, доказательства, что по этим недостаткам что-то сделали.
Последний пункт отличает живую систему от бумажной. Отчет об учениях, в котором все прошло идеально, вызывает у опытного аудитора больше вопросов, чем отчет с десятью замечаниями и планом их устранения. Как подготовить команду под это — в материале корпоративный курс по непрерывности.
Частые вопросы
Какая редакция ISO 22301 действует сейчас?
ISO 22301:2019 с поправкой 2024 года (Amd 1, климатические аспекты). Это актуальная версия международного стандарта непрерывности бизнеса.
Обязательно ли сертифицироваться по ISO 22301?
Нет. Стандарт можно использовать как методологию без сертификации. Сертификат нужен, когда его требуют клиенты, тендеры или регулятор.
Чем ISO 22301 отличается от ISO 27031?
ISO 22301 — про непрерывность бизнеса целиком. ISO/IEC 27031 — про готовность ИКТ (ИТ-инфраструктуры) к обеспечению непрерывности. Они дополняют друг друга.
От требований стандарта к работающей системе
Диагностика показывает разрыв между документами и реальностью. Дальше система строится вашими руками в программе или нашими под ключ.
Внедрение и стандарты
Эта страница — опорная в разделе. Ниже остальные материалы раздела, они раскрывают отдельные части темы.
- ОНиВД и ПОНиВД (требования ЦБ)Требования Банка России, структура плана, типичные ошибки
- Учения по непрерывностиКабинетные, симуляции, технические тесты и как провести
- Чек-лист готовности к кризисуПрактический чек-лист из 12 пунктов
- Корпоративный курс BCM/BCPКорпоративный курс: 6 модулей, 16 часов, с сертификатом
- Стресс-тест непрерывности бизнеса: вердикт и план за 2 дняВердикт и план за два дня, стресс-симуляция