Что такое ISO 22301?
ISO 22301 — международный стандарт систем менеджмента непрерывности бизнеса (СМНБ, BCMS). Он описывает, как организация определяет критически важные процессы, анализирует последствия сбоев, задаёт цели восстановления и внедряет планы, ресурсы и структуру реагирования на инциденты, чтобы продолжать работу, когда что-то идёт не так.
Действующая редакция ISO 22301:2019 построена на той же структуре высокого уровня (разделы 4–10), что ISO 27001 и ISO 9001, поэтому СМНБ можно интегрировать с существующими системами менеджмента. Сертификат выдаёт аккредитованный орган по сертификации после двухэтапного аудита; он действует три года с ежегодными надзорными аудитами.
Кому нужна сертификация ISO 22301?
- Банкам, финтех-компаниям и страховщикам, от которых DORA и NIS2 ожидают документированной непрерывности и способности к восстановлению
- Дата-центрам, SaaS- и хостинг-провайдерам, клиенты которых зависят от доступности сервисов
- Логистическим компаниям и производителям в критических цепочках поставок
- Поставщикам государственного сектора и операторам критической инфраструктуры
- Любой организации, которой нужно доказать клиентам, регуляторам или страховщикам, что она восстановит работу в согласованные сроки
Что проверяет самооценка ISO 22301
- Среда организации, заинтересованные стороны, законодательные требования и область применения СМНБ (раздел 4)
- Лидерство, политика непрерывности бизнеса, роли и ответственность (раздел 5)
- Анализ воздействия на бизнес (BIA), оценка рисков, RTO и RPO для критических процессов (разделы 6 и 8)
- Стратегии и решения по непрерывности, планы и процедуры, структура реагирования на инциденты, оповещение и коммуникация (раздел 8)
- Программа учений и тестирования, оценка планов (разделы 8–9)
- Мониторинг результатов, внутренний аудит, анализ со стороны руководства и улучшение (разделы 9–10)
Типичные пробелы перед аудитом ISO 22301
- Анализ воздействия на бизнес не проводился или BIA устарел на несколько лет и не отражает текущий бизнес
- Целевое время восстановления (RTO) и целевая точка восстановления (RPO) не определены или не согласованы с бизнесом
- Планы непрерывности существуют на бумаге, но ни разу не отрабатывались на учениях
- Непрерывность ключевых поставщиков и аутсорсинговых услуг не оценивалась
- Нет плана кризисных коммуникаций с сотрудниками, клиентами, регуляторами и СМИ
От самооценки к сертификации
Самооценка показывает, где вы находитесь сегодня. По отчёту о пробелах спланируйте работу, обновите BIA и планы, проведите учения, а затем отрепетируйте интервью в симуляторе аудита BALTUM AI. Сертификацию проводит выбранный вами аккредитованный орган по сертификации. BALTUM — независимое программное обеспечение и сертификаты не выдаёт.