---
title: "Без названия"
status: действует
canonical: "https://bukva.ai/docs/bez-nazvaniya-3324"
---

## Без названия

# Документ 31910

> [!NOTE]
> ИСТОРИЯ ИЗМЕНЕНИЙ НОРМАТИВНО-ТЕХНИЧЕСКИХ АКТОВ

```mermaid
flowchart LR
  n0["ГОСТ Р ИСО 22301-2014"]:::rst
  click n0 "https://bukva.ai/docs/gost-r-iso-22301-2014" "ГОСТ Р ИСО 22301-2014. Национальный стандарт Российской Федерации. Системы менеджмента непрерывности бизнеса. Общие требования (утв. и введен в действие Приказом Росстандарта от 17"
  n1["ГОСТ Р ИСО 22301-2021"]:::doc
  n0 --> n1
classDef rst fill:#FFEBEB,stroke:#8B0000,color:#000;
classDef doc fill:#EBFFEB,stroke:#006400,color:#000;
classDef notEnt fill:#FFFFEB,stroke:#FF8C00,color:#000;
```


<div align="right">

<a id="p100001"></a>Утвержден и введен в действие<br>
Приказом Федерального агентства<br>
по техническому регулированию<br>
и метрологии

</div>

от 5 октября 2021 г. N 1059-ст

<div align="center">

<a id="p100002"></a>**НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ**

<a id="p100003"></a>**НАДЕЖНОСТЬ В ТЕХНИКЕ**

<a id="p100004"></a>**СИСТЕМЫ МЕНЕДЖМЕНТА НЕПРЕРЫВНОСТИ ДЕЯТЕЛЬНОСТИ**

<a id="p100005"></a>**ТРЕБОВАНИЯ**

<a id="p100006"></a>**Dependability in technics. Business continuity**<br>
**management systems. Requirements**

<a id="p100007"></a>**(ISO 22301:2019, Security and resilience - Business**<br>
**continuity management systems - Requirements, IDT)**

<a id="p100008"></a>**ГОСТ Р ИСО 22301-2021**

</div>


<div align="right">

<a id="p100009"></a>ОКС 03.100.01;<br>
03.100.70

<a id="p100010"></a>Дата введения<br>
1 января 2022 года

</div>



### <a id="p100011"></a>Предисловие


<a id="p100012"></a>1 ПОДГОТОВЛЕН Закрытым акционерным обществом "Научно-исследовательский центр контроля и диагностики технических систем" (ЗАО "НИЦ КД") на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4
<a id="p100013"></a>2 ВНЕСЕН Техническим комитетом по стандартизации ТК 119 "Надежность в технике"
<a id="p100014"></a>3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 5 октября 2021 г. N 1059-ст
<a id="p100015"></a>4 Настоящий стандарт идентичен международному стандарту ИСО 22301:2019 "Безопасность и устойчивость. Системы менеджмента непрерывности деятельности. Требования" (ISO 22301:2019 "Security and resilience - Business continuity management systems - Requirements", IDT).
<a id="p100016"></a>Международный стандарт разработан Техническим комитетом ISO/TC 292.
<a id="p100017"></a>Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2012 (пункт 3.5).
<a id="p100018"></a>При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА
<a id="p100019"></a>5 ВЗАМЕН ГОСТ Р ИСО 22301-2014

<a id="p100020"></a>Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)


### <a id="p100021"></a>Введение



#### <a id="p100022"></a>0.1 Общие положения

<a id="p100023"></a>Настоящий стандарт устанавливает структуру системы менеджмента непрерывности деятельности (СМНД) в соответствии с количеством и типом воздействий, на которые организация может или не может реагировать при нарушении деятельности организации в работе, а также требования к внедрению и поддержанию этой системы.
<a id="p100024"></a>Результаты применения СМНД сформированы организацией с учетом правовых, нормативных, организационных и отраслевых требований, особенностей продукции и услуг, процессов, размера и структуры организации, а также требований заинтересованных сторон.
<a id="p100025"></a>В СМНД уделено особое внимание важности:
- <a id="p100026"></a>понимания потребностей организации и необходимости установления политики и целей обеспечения непрерывности деятельности;
- <a id="p100027"></a>функционирования и поддержке процессов, возможностей и структур реагирования для преодоления организацией возможных нарушений деятельности организации;
- <a id="p100028"></a>мониторинга и анализа результативности и эффективности СМНД;
- <a id="p100029"></a>постоянного улучшения на основе качественных и количественных показателей.
<a id="p100030"></a>СМНД, как и любая другая система управления, включает в себя следующие компоненты:
<a id="p100031"></a>a) политику;
<a id="p100032"></a>b) компетентный персонал с установленными обязанностями;
<a id="p100033"></a>c) процессы управления, которые связаны:
1) <a id="p100034"></a>с политикой;
2) <a id="p100035"></a>планированием;
3) <a id="p100036"></a>разработкой и функционированием;
4) <a id="p100037"></a>оценкой результатов работы;
5) <a id="p100038"></a>анализом со стороны руководства;
6) <a id="p100039"></a>постоянным улучшением;
<a id="p100040"></a>d) документированную информацию, поддерживающую оперативное управление и позволяющую выполнять оценку результатов.

#### <a id="p100041"></a>0.2 Преимущества системы управления непрерывностью деятельности

<a id="p100042"></a>Целью СМНД является подготовка, обеспечение и поддержка средств контроля и управления и обеспечения возможностей для продолжения работы организации во время нарушении ее деятельности. При внедрении этой системы организация может достичь следующих преимуществ:
<a id="p100043"></a>a) в области перспектив деятельности:
1) <a id="p100044"></a>поддержки своих стратегических целей;
2) <a id="p100045"></a>создания конкурентных преимуществ;
3) <a id="p100046"></a>защиты и укрепления репутации и доверия к организации;
4) <a id="p100047"></a>повышения устойчивости организации;
<a id="p100048"></a>b) в области финансов:
1) <a id="p100049"></a>снижения подверженности негативным воздействиям в правовой и финансовой сферах;
2) <a id="p100050"></a>снижения прямых и косвенных затрат в случае нарушений деятельности организации;
<a id="p100051"></a>c) в области перспектив для заинтересованных сторон:
1) <a id="p100052"></a>защиты жизни, имущества и окружающей среды;
2) <a id="p100053"></a>учета ожиданий заинтересованных сторон;
3) <a id="p100054"></a>обеспечения уверенности в достижении организацией успеха;
<a id="p100055"></a>d) в области внутренних процессов:
1) <a id="p100056"></a>повышения возможностей организации эффективно функционировать в период нарушения ее деятельности;
2) <a id="p100057"></a>демонстрации эффективного и результативного преактивного контроля риска;
3) <a id="p100058"></a>устранения уязвимостей в работе.

#### <a id="p100059"></a>0.3 Цикл Plan-Do-Check-Act (PDCA)

<a id="p100060"></a>В настоящем стандарте использован цикл "Планирование (создание)", "Выполнение (внедрение и эксплуатация)", "Проверка (мониторинг и проверка)" и "Действие (поддержание и улучшение)" (PDCA) для реализации, поддержания и постоянного повышения эффективности СМНД организации.
<a id="p100061"></a>Настоящий стандарт согласован со стандартами других систем менеджмента, такими как ИСО 9001, ИСО 14001, ИСО/МЭК 20000-1, ИСО/МЭК 27001 и ИСО 28000, обеспечивая последовательное интегрированное выполнение и работу СМНД со связанными системами менеджмента.
<a id="p100062"></a>В соответствии с циклом PDCA в разделах 4 - 10 приведены следующие требования.
- <a id="p100063"></a>В разделе 4 приведены требования, необходимые для установления условий применения СМНД в организации, а также соответствующие потребности, требования и область применения.
- <a id="p100064"></a>В разделе 5 приведены требования к высшему руководству СМНД и способы отражения ожиданий руководства в политике организации.
- <a id="p100065"></a>В разделе 6 приведены требования к установлению стратегических целей и руководящих принципов СМНД в целом.
- <a id="p100066"></a>Раздел 7 поддерживает функции СМНД, связанные с установлением компетенции и обменом информацией на регулярной основе (по мере необходимости) с заинтересованными сторонами при документировании, контроле, поддержке и хранении необходимой документированной информации.
- <a id="p100067"></a>В разделе 8 определены потребности в обеспечении непрерывности деятельности, способы их удовлетворения, разработки процедур управления организацией при нарушении работы.
- <a id="p100068"></a>В разделе 9 приведены общие требования к измерению показателей непрерывности деятельности, соответствия СМНД настоящему стандарту и проведению анализа со стороны руководства.
- <a id="p100069"></a>В разделе 10 определены действия по реагированию на несоответствия и постоянному улучшению СМНД посредством корректирующих и предупреждающих действий.

#### <a id="p100070"></a>0.5 Содержание стандарта

<a id="p100071"></a>Настоящий стандарт соответствует требованиям ИСО к стандартам на системы менеджмента. Эти требования включают в себя структуру высокого уровня, идентичный основной текст и общие термины с основными определениями для помощи пользователям, применяющим стандарты ИСО на системы менеджмента.
<a id="p100072"></a>Настоящий стандарт не включает требования, специфичные для других систем менеджмента, хотя элементы настоящего стандарта могут быть согласованы или интегрированы с элементами других систем менеджмента.
<a id="p100073"></a>Настоящий стандарт устанавливает требования, которые могут быть использованы организацией при разработке СМНД и оценке ее соответствия требованиям настоящего стандарта. Организация, которая желает продемонстрировать соответствие своей СМНД требованиям настоящего стандарта, может сделать это:
- <a id="p100074"></a>путем самоопределения и декларации о соответствии;
- <a id="p100075"></a>получения подтверждения соответствия от сторон, заинтересованных в организации, таких как потребители;
- <a id="p100076"></a>подтверждения своей декларации внешней стороной;
- <a id="p100077"></a>сертификации/регистрации своей СМНД сторонней организацией.
<a id="p100078"></a>В разделах 1 - 3 настоящего стандарта приведены ограничения, нормативные ссылки, а также термины и определения, применяемые при использовании настоящего стандарта. В разделах 4 - 10 приведены требования, которые должны быть использованы при оценке соответствия СМНД требованиям настоящего стандарта.
<a id="p100079"></a>Информация, приведенная в примечаниях, предназначена для понимания или разъяснения соответствующего требования. Примечания в разделе 3 предоставляют информацию, которая дополняет терминологические данные и может содержать положения, касающиеся использования термина.


### <a id="p100080"></a>1 Область применения


<a id="p100081"></a>В настоящем стандарте установлены требования к разработке, применению и улучшению системы менеджмента для защиты организации от нарушения ее деятельности, уменьшения вероятности его возникновения, подготовке к реагированию и восстановлению после нарушения деятельности организации при его возникновении.
<a id="p100082"></a>Требования, установленные в настоящем стандарте, являются общими и предназначены для применения ко всем организациям или их частям, независимо от типа, размера и особенностей организации. Степень применения этих требований зависит от условий работы организации и ее сложности.
<a id="p100083"></a>**Настоящий стандарт применим ко всем типам и размерам организаций, которые:**
<a id="p100084"></a>a) разрабатывают, применяют и улучшают СМНД;
<a id="p100085"></a>b) стремятся обеспечить соответствие СМНД заявленной политике в области непрерывности деятельности;
<a id="p100086"></a>c) нуждаются в возможности продолжения поставки продукции и услуг на приемлемом предопределенном уровне в период нарушения деятельности организации;
<a id="p100087"></a>d) стремятся повысить устойчивость организации за счет эффективного применения СМНД.
<a id="p100088"></a>Настоящий стандарт может быть использован для оценки способности организации удовлетворять свои потребности и обязательства в области обеспечения непрерывности деятельности.


### <a id="p100089"></a>2 Нормативные ссылки


<a id="p100090"></a>В настоящем стандарте использованы нормативные ссылки на следующий стандарт:
<a id="p100091"></a>ISO 22300, Security and resilience - Vocabulary (Безопасность и устойчивость к негативным внешним воздействиям. Словарь)


### <a id="p100092"></a>3 Термины и определения


<a id="p100093"></a>В настоящем стандарте применены термины по ИСО 22300, а также следующие термины с соответствующими определениями.
<a id="p100094"></a>Терминологические базы данных ИСО и МЭК доступны по следующим интернет-адресам:
- <a id="p100095"></a>электронная платформа ИСО с функцией онлайн-просмотра терминов по адресу: http://www.iso.org/obp;
- <a id="p100096"></a>электронная база МЭК Electropedia по адресу: http://www.electropedia.org/.
<a id="p100097"></a>**Примечание - Термины и определения, приведенные ниже, заменяют приведенными в ИСО 22300:2018.**

<a id="p100098"></a>3.1 деятельность (activity): Выполнение одной или нескольких задач с заданным результатом.
<a id="p100099"></a>[ИСО 22300:2018, 3.1, модифицировано - определение заменено, удален пример]
<a id="p100100"></a>3.2 аудит (audit): Систематический, независимый и документированный процесс (3.26) получения аудиторских доказательств и их объективной оценки для определения степени выполнения критериев аудита.
<a id="p100101"></a>*Примечание* 1 - Аудит может быть внутренним аудитом (первая сторона), внешним аудитом (вторая сторона или третья сторона), может быть комбинированным аудитом (объединяющим проверку двух или более дисциплин).
<a id="p100102"></a>*Примечание* 2 - Внутренний аудит проводит сама организация (3.21) или внешняя сторона по ее заказу.
<a id="p100103"></a>*Примечание* 3 - "Доказательства аудита" и "критерии аудита" определены в ISO 19011.
<a id="p100104"></a>*Примечание* 4 - Фундаментальные элементы аудита включают определение соответствия (3.7) объекта в соответствии с процедурой, выполняемой персоналом, не отвечающим за объект аудита.
<a id="p100105"></a>*Примечание* 5 - Внутренний аудит может быть проведен для анализа со стороны руководства и других внутренних целей и может служить основой для декларации о соответствии организации. Независимость может быть продемонстрирована свободой от ответственности за проверяемую деятельность (3.1). Внешние аудиторские проверки включают в себя аудит, выполняемый второй и третьей сторонами. Аудит, выполняемый второй стороной, проводят партнеры, заинтересованные в организации, такие как потребители или другие лица от их имени. Аудит, выполняемый третьей стороной, проводят внешние независимые аудиторские организации, такие как организации, осуществляющие сертификацию/регистрацию соответствия, или государственные органы.
<a id="p100106"></a>*Примечание* 6 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента. Исходное определение было изменено путем добавления примечаний 4 и 5.

<a id="p100107"></a>3.3 непрерывность деятельности (business continuity): Способность организации (3.21) продолжать производство продукции или оказание услуг (3.27) в приемлемых временных рамках, на приемлемом, заранее заданном уровне после нарушения деятельности организации (3.10).
<a id="p100108"></a>[ИСО 22300:2018, 3.24, модифицировано - определение заменено]
<a id="p100109"></a>3.4 план обеспечения непрерывности деятельности (business continuity plan): Документированная информация (3.11), описывающая деятельность организации (3.21) при реагировании на нарушение деятельности организации (3.10) для возобновления, восстановления и продолжения поставки продукции и оказания услуг (3.27) в соответствии с целями (3.20) обеспечения непрерывности деятельности (3.3).
<a id="p100110"></a>[ИСО 22300:2018, 3.27, модифицировано - определение заменено, примечание удалено].
<a id="p100111"></a>3.5 анализ воздействий на деятельность (business impact analysis): Процесс (3.26) анализа воздействий (3.13) на деятельность организации, которые со временем могут привести к нарушению деятельности организации (3.10) в ее работе (3.21).
<a id="p100112"></a>*Примечание* - Результатом анализа воздействия на деятельность является установление и обоснование требований (3.28) к обеспечению непрерывности деятельности (3.3).

<a id="p100113"></a>[ИСО 22300:2018, 3.29, модифицировано - определение заменено, добавлено примечание]
<a id="p100114"></a>3.6 компетентность (competence): Подтвержденная способность применять знания и навыки для достижения желаемых результатов.
<a id="p100115"></a>*Примечание* - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100116"></a>3.7 соответствие (conformity): Выполнение требований (3.28).
<a id="p100117"></a>*Примечание* - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100118"></a>3.8 постоянное улучшение (continual improvement): Повторяющаяся деятельность (3.1), направленная на совершенствование показателей деятельности.
<a id="p100119"></a>*Примечание* - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100120"></a>3.9 корректирующее действие (corrective action): Меры по устранению выявленного несоответствия (3.19), определению его причин(ы) и недопущению его повторения.
<a id="p100121"></a>*Примечание* - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100122"></a>3.10 нарушение деятельности организации (disruption): Инцидент (3.14), ожидаемый или непредвиденный, который вызывает незапланированное отрицательное отклонение от ожидаемой поставки продукции и/или услуг (3.27) в соответствии с целями (3.20) организации (3.21).
<a id="p100123"></a>[ИСО 22300:2018, 3.70, модифицировано - определение заменено].
<a id="p100124"></a>3.11 документированная информация (documented information): Управляемая или поддерживаемая организацией (3.21) информация и ее носители.
<a id="p100125"></a>*Примечание* 1 - Документированная информация может иметь любой формат и любой носитель.
<a id="p100126"></a>*Примечание* 2 - Документированная информация может относиться:
- <a id="p100127"></a>к системе менеджмента (3.16), включая связанные процессы (3.26);
- <a id="p100128"></a>информации, созданной для работы организации (документация);
- <a id="p100129"></a>подтверждению достигнутых результатов (записи).
<a id="p100130"></a>*Примечание* 3 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100131"></a>3.12 результативность (effectiveness): Степень выполнения запланированной деятельности (3.1) и достижения запланированных результатов.
<a id="p100132"></a>*Примечание* - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100133"></a>3.13 воздействие (impact): Результат нарушения деятельности организации (3.10), воздействующий на цели (3.20).
<a id="p100134"></a>[ИСО 22300:2018, 3.107, модифицировано - определение заменено]
<a id="p100135"></a>3.14 инцидент (incident): Событие, которое может представлять собой или приводить к нарушению деятельности организации (3.10), материальным или иным потерям, чрезвычайной ситуации или кризису.
<a id="p100136"></a>[ИСО 22300:2018, 3.111, модифицировано - определение заменено]
<a id="p100137"></a>3.15 заинтересованная сторона (предпочтительный термин), причастная сторона (допустимый термин) (interested party (preferred term), stakeholder (admitted term): Лицо или организация (3.21), которые могут повлиять, быть затронуты или считают себя затронутыми решением или деятельностью (3.1).
<a id="p100138"></a>*Пример* - Клиенты, владельцы, персонал, поставщики, банкиры, регулирующие органы, объединения, партнеры или сообщества, которые могут включать конкурентов или противостоящие группы давления.
<a id="p100139"></a>*Примечание* 1 - Лицо, принимающее решение, может быть заинтересованной стороной.
<a id="p100140"></a>*Примечание* 2 - Затрагиваемые сообщества и местное население считаются заинтересованными сторонами.
<a id="p100141"></a>*Примечание* 3 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента. Исходное определение изменено путем добавления примера и примечаний 1 и 2.

<a id="p100142"></a>3.16 система менеджмента (management system): Совокупность взаимосвязанных и взаимодействующих элементов организации (3.21), определяющих ее политику (3.24), цели (3.20), а также процессы (3.26) для достижения этих целей.
<a id="p100143"></a>*Примечание* 1 - Система менеджмента может охватывать одно или несколько направлений деятельности.
<a id="p100144"></a>*Примечание* 2 - Элементами системы являются структура организации, обязанности и ответственность персонала, планирование и работа системы.
<a id="p100145"></a>*Примечание* 3 - Система менеджмента может охватывать организацию в целом, отдельные конкретные функции организации, отдельные конкретные подразделения организации, одну или несколько функций в группе организаций.
<a id="p100146"></a>*Примечание* 4 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100147"></a>3.17 измерение (measurement): Процесс (3.26) определения значения величины.
<a id="p100148"></a>*Примечание* - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100149"></a>3.18 мониторинг (monitoring): Определение состояния системы, процесса (3.26) или деятельности (3.1).
<a id="p100150"></a>*Примечание* 1 - Для определения состояния может требоваться проверка, контроль или критическое наблюдение.
<a id="p100151"></a>*Примечание* 2 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО системы менеджмента.

<a id="p100152"></a>3.19 несоответствие: Невыполнение требований (3.28).
<a id="p100153"></a>*Примечание* - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100154"></a>3.20 цель (objective): Результат, который должен быть достигнут.
<a id="p100155"></a>*Примечание* 1 - Цель может быть стратегической, тактической или оперативной.
<a id="p100156"></a>*Примечание* 2 - Цели могут относиться к разным областям (например, к финансам, охране труда, охране окружающей среды и т.д.) и уровням (например, стратегическому, общеорганизационному, уровню конкретного проекта, продукции и процессу, см. 3.12).
<a id="p100157"></a>*Примечание* 3 - Цель может быть выражена иным способом: например, в виде планируемого конечного результата, намерения, оперативного критерия, цели в области непрерывности бизнеса или с помощью других близких по значению слов.
<a id="p100158"></a>*Примечание* 4 - В системе менеджмента непрерывности деятельности (3.16) цели в области непрерывности деятельности организация устанавливает в соответствии с политикой (3.24) в области непрерывности деятельности для достижения определенных результатов.
<a id="p100159"></a>*Примечание* 5 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100160"></a>3.21 организация (organization): Лицо или группа лиц, имеющие функции, ответственность, полномочия и взаимосвязи, необходимые для достижения целей (3.20).
<a id="p100161"></a>*Примечание* 1 - Понятие организации включает, среди прочего, индивидуальных предпринимателей, компании, корпорации, фирмы, предприятия, органы власти, партнерства, благотворительные организации или учреждения, а также их подразделения и объединения, независимо от того, зарегистрированы они в качестве юридических лиц или нет, являются они государственными или частными.
<a id="p100162"></a>*Примечание* 2 - Для организаций с несколькими функциональными единицами одна функциональная единица может быть определена как организация.
<a id="p100163"></a>*Примечание* 3 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента. Первоначальное определение изменено путем добавления примечания 2.

<a id="p100164"></a>3.22 аутсорсинг (outsource): Форма организации работ, при которой внешняя организация (3.21) выполняет часть функции или процесса (3.26) организации.
<a id="p100165"></a>*Примечание* 1 - Внешняя организация находится за рамками системы управления (3.16), хотя функция или процесс, переданные на аутсорсинг, входят в область применения системы.
<a id="p100166"></a>*Примечание* 2 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100167"></a>3.23 показатель (деятельности) (performance): Измеримый результат.
<a id="p100168"></a>*Примечание* 1 - Показатели деятельности могут быть количественными и качественными.
<a id="p100169"></a>*Примечание* 2 - Показатели деятельности могут относиться к управлению деятельностью (3.1), процессам (3.26), продукции (включая услуги), системам или организациям (3.21).
<a id="p100170"></a>*Примечание* 3 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100171"></a>3.24 политика (policy): Намерения и направления деятельности организации (3.21), официально сформулированные высшим руководством (3.31).
<a id="p100172"></a>*Примечание* - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100173"></a>3.25 приоритетная деятельность (prioritized activity): Деятельность (3.1), которую необходимо осуществить в первую очередь во избежание недопустимого воздействия (3.13) на деятельность во время нарушения деятельности организации (3.10).
<a id="p100174"></a>[ИСО 22300:2018, 3.176, модифицировано - определение заменено, примечание удалено]
<a id="p100175"></a>3.26 процесс (process): Набор взаимосвязанных или взаимодействующих действий (3.1), которые преобразуют входы в выходы.
<a id="p100176"></a>*Примечание* 1 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100177"></a>3.27 продукция или услуга (product and service): Выход или результат, который организация (3.21) поставляет заинтересованным сторонам (3.15).
<a id="p100178"></a>*Пример* - Промышленные изделия, страхование автомобилей, сообщество престарелых.
<a id="p100179"></a>[ИСО 22300:2018, 3.181, модифицировано - определение заменено].
<a id="p100180"></a>3.28 требование (requirement): Потребность или ожидание, которое установлено, обычно предполагается или является обязательным.
<a id="p100181"></a>*Примечание* 1 - Слова "обычно предполагается" означают, с общепринятой практикой организации (3.21), ее потребителей и других заинтересованных сторон (3.15), предполагаемые потребности или ожидания.
<a id="p100182"></a>*Примечание* 2 - Установленным является такое требование, которое определено, например, в документированной информации (3.11).
<a id="p100183"></a>*Примечание* 3 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.

<a id="p100184"></a>3.29 ресурсы (resource): Все активы (включая машины и оборудование), персонал, навыки, технологии, помещения и материалы, а также информацию (электронную или иную), которую организация (3.21) должна иметь в своем распоряжении, когда это необходимо для работы и достижения целей (3.20).
<a id="p100185"></a>[ИСО 22300:2018, 3.193, модифицировано - определение заменено]
<a id="p100186"></a>3.30 риск (risk): Следствие влияния неопределенности на достижение целей (3.20).
<a id="p100187"></a>*Примечание* 1 - Следствие влияния характеризуется отклонением от ожидаемого результата в лучшую и/или худшую сторону.
<a id="p100188"></a>*Примечание* 2 - Цели могут иметь различные аспекты (например, финансовые, в области охраны труда, охраны окружающей среды и т.д.) и относиться к разным уровням (например, стратегические цели, цели, относящиеся к организации в целом, к конкретному проекту, продукту или процессу).
<a id="p100189"></a>*Примечание* 3 - Риск часто характеризуется связью с возможными событиями и последствиями (как определено в Руководстве ИСО 73) или их комбинацией.
<a id="p100190"></a>*Примечание* 4 - Риск часто выражают в виде комбинации последствий события (включая изменения в обстоятельствах) и связанной с ним вероятности или возможности его возникновения.
<a id="p100191"></a>*Примечание* 5 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента. Определение было изменено, чтобы добавить "по целям", чтобы соответствовать ИСО 31000.

<a id="p100192"></a>3.31 высшее руководство (top management): Лицо или группа лиц, которые руководят и управляют организацией (3.21) на самом высоком уровне.
<a id="p100193"></a>*Примечание* 1 - Высшее руководство имеет право делегировать полномочия и предоставлять ресурсы (3.29) внутри организации.
<a id="p100194"></a>*Примечание* 2 - Если область применения системы менеджмента (3.16) охватывает только часть организации, то высшее руководство относится к лицам, которые руководят и управляют этой частью организации.
<a id="p100195"></a>*Примечание* 3 - Данный термин является одним из общих терминов структуры высокого уровня для стандартов ИСО на системы менеджмента.


### <a id="p100196"></a>4 Область применения в организации



#### <a id="p100197"></a>4.1 Понимание особенностей организации и условий ее работы

<a id="p100198"></a>Организация должна определить внешние и внутренние проблемы, которые могут повлиять на ее возможности достижения поставленных целей и намеченных результатов СМНД.
<a id="p100199"></a>*Примечание* - Эти проблемы связаны с общими целями организации, ее продукцией и услугами, а также величиной и типом риска, который может или не может быть принят организацией.


#### <a id="p100200"></a>4.2 Понимание потребностей и ожиданий заинтересованных сторон


##### <a id="p100201"></a>4.2.1 Общие положения

<a id="p100202"></a>При создании СМНД организации необходимо определить:
<a id="p100203"></a>a) заинтересованные стороны, имеющие отношение к СМНД;
<a id="p100204"></a>b) соответствующие требования идентифицированных заинтересованных сторон.

##### <a id="p100205"></a>4.2.2 Законодательные и обязательные требования

<a id="p100206"></a>Организация должна:
<a id="p100207"></a>a) разработать и поддерживать процесс идентификации, получения доступа и оценки применимых законодательных и обязательных требований, связанных с непрерывностью производства и поставки продукции и оказания услуг, видов деятельности и ресурсов организации;
<a id="p100208"></a>b) обеспечить учет при внедрении и функционировании в организации СМНД применимых законодательных, обязательных и других требований;
<a id="p100209"></a>c) документировать данную информацию и поддерживать ее в актуализированном состоянии.

#### <a id="p100210"></a>4.3 Определение области применения системы менеджмента непрерывности деятельности


##### <a id="p100211"></a>4.3.1 Общие положения

<a id="p100212"></a>Организация должна определить границы и применимость СМНД для установления ее области применения.
<a id="p100213"></a>При установлении области определения СМНД организация должна учитывать:
<a id="p100214"></a>a) внешние и внутренние проблемы, указанные в 4.1;
<a id="p100215"></a>b) требования, указанные в 4.2;
<a id="p100216"></a>c) назначение, цели, а также внутренние и внешние обязательства организации.
<a id="p100217"></a>Область применения СМНД организации должна быть документирована и доступна.

##### <a id="p100218"></a>4.3.2 Область применения системы менеджмента непрерывности деятельности

<a id="p100219"></a>Организация должна:
<a id="p100220"></a>a) определить части организации, включаемые в СМНД, с учетом их местоположения, объема, особенностей и сложности;
<a id="p100221"></a>b) определить продукцию и услуги, включаемые в СМНД.
<a id="p100222"></a>При определении области применения СМНД организация должна обосновать и документировать исключения. При этом исключения не должны влиять на возможности и ответственность организации обеспечивать непрерывность деятельности, это определяют путем анализа их воздействия на деятельность или оценки риска и применимых правовых или нормативных требований.

#### <a id="p100223"></a>4.4 Система менеджмента непрерывности деятельности

<a id="p100224"></a>Организация должна создать, внедрить, поддерживать и постоянно улучшать СМНД, включая необходимые процессы и их взаимодействие, в соответствии с требованиями настоящего стандарта.


### <a id="p100225"></a>5 Лидерство



#### <a id="p100226"></a>5.1 Лидерство и приверженность

<a id="p100227"></a>Высшее руководство организации должно продемонстрировать лидерство и приверженность СМНД:
<a id="p100228"></a>a) путем обеспечения установления политики и целей в области обеспечения непрерывности деятельности, совместимых со стратегическим направлением деятельности организации;
<a id="p100229"></a>b) обеспечения интеграции требований СМНД в бизнес-процессы организации;
<a id="p100230"></a>c) обеспечения доступности ресурсов, необходимых для СМНД;
<a id="p100231"></a>**d) обмена информацией о важности результативного обеспечения непрерывности деятельности и соответствия требованиям СМНД;**
<a id="p100232"></a>e) обеспечения достижения СМНД запланированных результатов;
<a id="p100233"></a>f) руководства и поддержки лиц, способствующих повышению эффективности СМНД;
<a id="p100234"></a>g) содействия постоянному улучшению;
<a id="p100235"></a>h) поддержки других соответствующих функций менеджмента с целью демонстрации лидерства и приверженности высшего руководства СМНД, в рамках установленных ответственности и полномочий.
<a id="p100236"></a>*Примечание* - Термин "деятельность" в настоящем стандарте может быть истолкован в широком смысле как означающий те виды деятельности, которые являются ключевыми для целей существования организации.


#### <a id="p100237"></a>5.2 Политика


##### <a id="p100238"></a>5.2.1 Установление политики в области обеспечения непрерывности деятельности

<a id="p100239"></a>Высшее руководство должно установить политику в области обеспечения непрерывности деятельности, которая:
<a id="p100240"></a>a) соответствует целям организации;
<a id="p100241"></a>b) обеспечивает основу для установления целей в области обеспечения непрерывности деятельности;
<a id="p100242"></a>c) включает в себя обязательство организации о выполнении применимых требований;
<a id="p100243"></a>d) включает в себя обязательство по постоянному улучшению СМНД.

##### <a id="p100244"></a>5.2.2 Обмен информацией о политике в области обеспечения непрерывности деятельности

<a id="p100245"></a>Политика в области обеспечения непрерывности деятельности должна:
<a id="p100246"></a>a) быть доступна в качестве документированной информации;
<a id="p100247"></a>b) включена в процесс обмен информацией внутри организации;
<a id="p100248"></a>c) доступна для соответствующих заинтересованных сторон.

#### <a id="p100249"></a>5.3 Функции, обязанности и полномочия

<a id="p100250"></a>Высшее руководство должно обеспечивать распределение функций, ответственности и полномочий в СМНД, и обмен данной информацией внутри организации.
<a id="p100251"></a>Высшее руководство должно возложить ответственность и полномочия:
<a id="p100252"></a>a) за обеспечение соответствия СМНД требованиям настоящего стандарта;
<a id="p100253"></a>b) отчетность о работе СМНД перед высшим руководством.


### <a id="p100254"></a>6 Планирование



#### <a id="p100255"></a>6.1 Действия по снижению риска и использованию благоприятных возможностей


##### <a id="p100256"></a>6.1.1 Определение риска и благоприятных возможностей

<a id="p100257"></a>При планировании СМНД организация должна учитывать вопросы, указанные в 4.1, требования, указанные в 4.2, и определить риски и возможности:
<a id="p100258"></a>a) для обеспечения уверенности в достижении СМНД поставленных целей;
<a id="p100259"></a>b) предупреждения или снижения нежелательных воздействий;
<a id="p100260"></a>**c) обеспечения постоянного улучшения.**

##### <a id="p100261"></a>6.1.2 Снижение риска и использование возможностей

<a id="p100262"></a>Организация должна планировать:
<a id="p100263"></a>a) действия по снижению или устранению выявленного риска и использованию выявленных возможностей;
<a id="p100264"></a>b) способы:
1) <a id="p100265"></a>интегрирования и внедрения действий в процессы СМНД организации (см. 8.1);
2) <a id="p100266"></a>оценку результативности этих действий (см. 9.1).
<a id="p100267"></a>*Примечание* - Риск и возможности связаны с результативностью системы менеджмента. Риск, связанный с нарушением деятельности, рассмотрен в 8.2.


#### <a id="p100268"></a>6.2 Цели в области обеспечения непрерывности деятельности и планирование их достижения


##### <a id="p100269"></a>6.2.1 Установление целей в области обеспечения непрерывности деятельности

<a id="p100270"></a>Организация должна установить цели в области обеспечения непрерывности деятельности для соответствующих уровней и подразделений.
<a id="p100271"></a>Цели в области обеспечения непрерывности деятельности должны:
<a id="p100272"></a>a) соответствовать политике в области обеспечения непрерывности деятельности;
<a id="p100273"></a>b) быть измеримыми (если применимо);
<a id="p100274"></a>c) учитывать применимые требования (см. 4.1 и 4.2);
<a id="p100275"></a>d) быть объектом постоянного мониторинга;
<a id="p100276"></a>e) быть объектом обмена информацией с заинтересованными сторонами;
<a id="p100277"></a>f) актуализироваться по мере необходимости.
<a id="p100278"></a>Организация должна хранить документированную информацию о целях в области обеспечения непрерывности деятельности.

##### <a id="p100279"></a>6.2.2 Определение целей в области обеспечения непрерывности деятельности

<a id="p100280"></a>При планировании способов достижения целей в области обеспечения непрерывности деятельности организация должна определить:
<a id="p100281"></a>a) что необходимо сделать;
<a id="p100282"></a>b) какие необходимы ресурсы;
<a id="p100283"></a>c) ответственных;
<a id="p100284"></a>d) сроки достижения целей;
<a id="p100285"></a>e) способы оценки результатов.

#### <a id="p100286"></a>6.3 Планирование изменений в системе менеджмента непрерывностью деятельности

<a id="p100287"></a>Если организация определяет необходимость изменений в СМНД, включая определенные в разделе 10, изменения должны быть выполнены в плановом порядке.
<a id="p100288"></a>Организация должна учитывать:
<a id="p100289"></a>a) цель изменений и их возможные последствия;
<a id="p100290"></a>b) обеспечение целостности СМНД;
<a id="p100291"></a>c) наличие ресурсов;
<a id="p100292"></a>d) распределение или перераспределение обязанностей и полномочий.


### <a id="p100293"></a>7 Поддержка СМНД



#### <a id="p100294"></a>7.1 Ресурсы

<a id="p100295"></a>Организация должна определить и выделить ресурсы, необходимые для создания, внедрения, функционирования и постоянного улучшения СМНД.

#### <a id="p100296"></a>7.2 Компетентность

<a id="p100297"></a>Организация должна:
<a id="p100298"></a>a) определить необходимую компетентность лица (лиц), выполняющего работу по управлению, которая влияет на показатели в области непрерывности деятельности;
<a id="p100299"></a>**b) обеспечить компетентность этих лиц на основе соответствующего образования, обучения или опыта;**
<a id="p100300"></a>c) (если применимо), предпринять действия для приобретения необходимой компетенции и оценить результативность предпринятых действий;
<a id="p100301"></a>d) хранить соответствующую документированную информацию в качестве доказательства компетентности.
<a id="p100302"></a>*Примечание* - Применимые действия могут включать, например, предоставление обучения, наставничество или переназначение работающих сотрудников, наем или заключение контракта с компетентными лицами.


#### <a id="p100303"></a>7.3 Осведомленность

<a id="p100304"></a>Лица, выполняющие работу по управлению в организации, должны знать:
<a id="p100305"></a>a) политику в области обеспечения непрерывности деятельности;
<a id="p100306"></a>b) свой вклад в результативность СМНД, в том числе преимущества улучшения показателей непрерывности деятельности;
<a id="p100307"></a>c) последствия несоответствия требованиям СМНД;
<a id="p100308"></a>d) свои функции, обязанности и полномочия до, во время и после нарушения деятельности организации.

#### <a id="p100309"></a>7.4 Обмен информацией

<a id="p100310"></a>Организация должна определить внутренние и внешние способы обмена информацией, которые относятся к СМНД, включая:
<a id="p100311"></a>a) предмет обмена информацией;
<a id="p100312"></a>b) сроки и периодичность обмена информацией;
<a id="p100313"></a>c) участников обмена информацией;
<a id="p100314"></a>d) способы обмена информацией;
<a id="p100315"></a>e) организаторов обмена информацией.

#### <a id="p100316"></a>7.5 Документированная информация


##### <a id="p100317"></a>7.5.1 Общие положения

<a id="p100318"></a>СМНД организации должна включать следующее:
<a id="p100319"></a>a) документированную информацию, соответствующую требованиям настоящего стандарта;
<a id="p100320"></a>b) определенную организацией документированную информацию, необходимую для обеспечения результативности СМНД.
<a id="p100321"></a>*Примечание* - Объем документированной информации СМНД может отличаться в разных организациях вследствие:
- <a id="p100322"></a>размера организации и особенностей ее видов деятельности, процессов, продукции, услуг и доступных ресурсов;
- <a id="p100323"></a>сложности процессов организации, ее СМНД и их взаимодействия;
- <a id="p100324"></a>компетентности персонала.


##### <a id="p100325"></a>7.5.2 Создание и актуализация

<a id="p100326"></a>При создании и обновлении документированной информации организация должна обеспечить соответствующие:
<a id="p100327"></a>a) идентификацию и описание (например, наименование, дата, разработчик или номер для ссылки);
<a id="p100328"></a>b) формат (например, язык, версия программного обеспечения, графика) и носитель (например, бумажный, электронный);
<a id="p100329"></a>c) рассмотрение и утверждение пригодности и адекватности.

##### <a id="p100330"></a>7.5.3 Управление документированной информацией

<a id="p100331"></a>7.5.3.1 Организация должна управлять документированной информацией, соответствующей требованиям СМНД и настоящему стандарту для обеспечения:
<a id="p100332"></a>a) доступности и пригодности ее использования, где и когда это необходимо;
<a id="p100333"></a>b) надлежащей защиты (например, от потери конфиденциальности, ненадлежащего использования или утраты целостности).
<a id="p100334"></a>7.5.3.2 Для управления документированной информацией организация должна рассмотреть следующие виды действий с документацией:
<a id="p100335"></a>a) распространение, доступ, поиск и использование;
<a id="p100336"></a>b) хранение и сохранение, в том числе сохранение разборчивости;
<a id="p100337"></a>c) управление изменениями (например, управление версиями);
<a id="p100338"></a>d) хранение и распоряжение (в том числе утилизация).
<a id="p100339"></a>Документированная информация внешнего происхождения, необходимая организации для планирования и эксплуатации СМНД, должна быть идентифицирована, и, при необходимости должна контролироваться.
<a id="p100340"></a>*Примечание* - Доступ может подразумевать решение относительно разрешения только на просмотр документированной информации или на просмотр и изменение документированной информации.


### <a id="p100341"></a>8 Функционирование



#### <a id="p100342"></a>8.1 Оперативное планирование и управление

<a id="p100343"></a>Организация должна планировать, выполнять и контролировать процессы, необходимые для выполнения требований и осуществления действий, определенных в 6.1:
<a id="p100344"></a>a) путем установления критериев состояния процессов;
<a id="p100345"></a>b) осуществления контроля и управления процессами в соответствии с критериями;
<a id="p100346"></a>c) хранения документированной информации в объеме, необходимом для уверенности в том, что процессы выполнены в соответствии с планом.
<a id="p100347"></a>**Организация должна управлять запланированными изменениями и анализировать последствия непреднамеренных изменений, принимая меры для смягчения всех неблагоприятных последствий, при необходимости.**
<a id="p100348"></a>Организация должна обеспечить управление процессами аутсорсинга и цепочкой поставок.

#### <a id="p100349"></a>8.2 Анализ воздействий на деятельность и оценка риска


##### <a id="p100350"></a>8.2.1 Общие положения

<a id="p100351"></a>Организация должна:
<a id="p100352"></a>a) выполнять и поддерживать систематические процессы анализа воздействий на деятельность и оценки риска возникновения нарушения деятельности организации;
<a id="p100353"></a>b) проводить анализ воздействий на деятельность и оценку риска через запланированные промежутки времени и при наличии существенных изменений в организации или в области применения.
<a id="p100354"></a>*Примечание* - Организация должна определить порядок проведения анализа воздействий на деятельность и оценки риска.


##### <a id="p100355"></a>8.2.2 Анализ воздействий на деятельность

<a id="p100356"></a>Организация должна использовать процесс анализа воздействий на деятельность для определения приоритетов и требований к обеспечению непрерывности деятельности. Процесс должен:
<a id="p100357"></a>a) определить виды воздействий и критерии, соответствующие области применения и специфике организации;
<a id="p100358"></a>b) определить виды деятельности, которые поддерживают производство продукции и оказание услуг;
<a id="p100359"></a>c) использовать типы и критерии воздействий для оценки воздействий, происходящих в результате нарушения деятельности организации в этих видах деятельности;
<a id="p100360"></a>d) определить продолжительность времени, в течение которого невозобновление деятельности становится неприемлемым для организации;
<a id="p100361"></a>*Примечание* 1 - Данный период времени можно назвать "максимально допустимым периодом прерывания деятельности".

<a id="p100362"></a>e) установить предпочтительную продолжительность времени, указанного в d), для возобновления прерванной деятельности, установленным минимально приемлемым объемом производства продукции;
<a id="p100363"></a>*Примечание* 2 - Такой временной интервал можно назвать "целевой продолжительностью восстановления".

<a id="p100364"></a>f) использовать данный анализ для определения приоритетных видов деятельности;
<a id="p100365"></a>g) определить ресурсы, необходимы для поддержки приоритетных видов деятельности;
<a id="p100366"></a>h) определить виды зависимости, в том числе от партнеров и поставщиков, а также взаимозависимости, связанные с приоритетными видами деятельности.

##### <a id="p100367"></a>8.2.3 Оценка риска

<a id="p100368"></a>Организация должна выполнять и поддерживать процесс оценки риска.
<a id="p100369"></a>*Примечание* - Процесс оценки риска рассмотрен в ИСО 31000.

<a id="p100370"></a>Организация должна:
<a id="p100371"></a>a) идентифицировать риск нарушения деятельности организации в приоритетных видах деятельности организации и необходимые ресурсы;
<a id="p100372"></a>b) проводить анализ и оценку идентифицированных видов риска;
<a id="p100373"></a>c) определить виды риска, требующие обработки.
<a id="p100374"></a>*Примечание* - Риск в данном случае связан с нарушением деятельности организации. Риск и возможности, связанные с результативностью системы менеджмента, рассмотрены в 6.1.


#### <a id="p100375"></a>8.3 Стратегии и решения по обеспечению непрерывности деятельности


##### <a id="p100376"></a>8.3.1 Общие положения

<a id="p100377"></a>На основе результатов анализа воздействий на деятельность и оценки риска организация должна идентифицировать и выбрать стратегии обеспечения непрерывности деятельности, позволяющие рассматривать варианты стратегий до, во время и после нарушения деятельности организации. Стратегии обеспечения непрерывности деятельности могут охватывать одно или несколько решений.

##### <a id="p100378"></a>8.3.2 Идентификация стратегий и решений

<a id="p100379"></a>Идентификация стратегий и решений должна быть основана на уровне их полезности:
<a id="p100380"></a>a) при выполнении требований к продолжению и восстановлению приоритетных мероприятий в установленные сроки с установленным объемом производства;
<a id="p100381"></a>b) обеспечении защиты приоритетных направлений деятельности организации;
<a id="p100382"></a>c) снижении вероятности нарушения деятельности организации;
<a id="p100383"></a>d) сокращении продолжительности простоя при нарушении деятельности организации;
<a id="p100384"></a>e) ограничении влияния нарушения деятельности организации на продукцию и услуги организации;
<a id="p100385"></a>f) обеспечении необходимых ресурсов.

##### <a id="p100386"></a>8.3.3 Выбор стратегий и решений

<a id="p100387"></a>Выбор стратегий и решений должен быть основан на уровне их полезности:
<a id="p100388"></a>a) при выполнении требований к продолжению и восстановлению приоритетных видов деятельности в установленные сроки и на уровне согласованного объема производства;
<a id="p100389"></a>b) проведении анализа величины и вида риска, который организация может или не может принять;
<a id="p100390"></a>c) рассмотрении связанных с этим затрат и преимуществ.

##### <a id="p100391"></a>8.3.4 Требования к ресурсам

<a id="p100392"></a>Организация должна определить требования к ресурсам для реализации выбранных решений по обеспечению непрерывности деятельности. Рассматриваемые виды ресурсов должны включать (перечень может быть дополнен) следующим:
<a id="p100393"></a>a) люди;
<a id="p100394"></a>b) информация и данные;
<a id="p100395"></a>c) физическая инфраструктура, такая как здания, рабочие места или другие объекты и связанное с ним оборудование;
<a id="p100396"></a>d) оборудование и расходные материалы;
<a id="p100397"></a>e) системы информационно-коммуникационных технологий (ИКТ);
<a id="p100398"></a>f) транспорт и логистика;
<a id="p100399"></a>g) финансы;
<a id="p100400"></a>h) партнеры и поставщики.

##### <a id="p100401"></a>8.3.5 Выполнение решений

<a id="p100402"></a>Организация должна разработать и поддерживать выбранные решения в области обеспечения непрерывности деятельности, чтобы их можно было инициировать при необходимости.

#### <a id="p100403"></a>8.4 Планы и процедуры обеспечения непрерывности деятельности


##### <a id="p100404"></a>8.4.1 Общие положения

<a id="p100405"></a>Организация должна внедрить и поддерживать структуру реагирования, которая позволит своевременно предупреждать нарушение деятельности организации и проводить обмен информацией с соответствующими заинтересованными сторонами. Организация должна разработать планы и процедуры управления организацией в период нарушения ее деятельности. Планы и процедуры должны быть использованы, когда необходимо инициировать решения по обеспечению непрерывности деятельности.
<a id="p100406"></a>*Примечание* - Существуют различные типы процедур, которые включают в планы обеспечения непрерывности деятельности.

<a id="p100407"></a>Организация должна определить и документировать планы и процедуры обеспечения непрерывности деятельности на основе выбранных стратегий и решений.
<a id="p100408"></a>Процедуры должны:
<a id="p100409"></a>a) быть конкретными в отношении немедленных действий, которые должны быть выполнены в период нарушения деятельности организации;
<a id="p100410"></a>b) гибкими, чтобы реагировать на изменяющиеся внутренние и внешние условия в период нарушения деятельности организации;
<a id="p100411"></a>c) фокусироваться на воздействии инцидентов, которые потенциально могут привести к нарушению деятельности организации;
<a id="p100412"></a>d) результативно минимизировать воздействия путем выполнения соответствующих решений;
<a id="p100413"></a>e) устанавливать функции и обязанности по выполнению задач внутри процедур.

##### <a id="p100414"></a>8.4.2 Структура ответных мер

<a id="p100415"></a>8.4.2.1 Организация должна разработать и поддерживать структуру, определяющую одну или несколько команд, ответственных за реагирование на нарушение деятельности организации.
<a id="p100416"></a>8.4.2.2 Функции и обязанности каждой команды и отношения между командами должны быть четко идентифицированы.

###### <a id="p100417"></a>8.4.2.3 В совокупности команды должны быть компетентны:

<a id="p100418"></a>a) при оценке особенностей и степени нарушения деятельности организации и его потенциального воздействия;
<a id="p100419"></a>b) оценке влияния по отношению к установленным пороговым значениям, инициации ответных действий;
<a id="p100420"></a>c) активации соответствующих ответных действий в области обеспечения непрерывности деятельности;
<a id="p100421"></a>d) планировании необходимых действий;
<a id="p100422"></a>e) установлении приоритетов (используя безопасность в качестве главного приоритета);
<a id="p100423"></a>f) мониторинге последствий нарушения деятельности организации и реагировании организации на нарушение деятельности;
<a id="p100424"></a>g) активации решения по обеспечению непрерывности деятельности;
<a id="p100425"></a>h) обмене информацией с соответствующими заинтересованными сторонами, органами власти и средствами массовой информации.

###### <a id="p100426"></a>8.4.2.4 Для каждой команды необходимо:

<a id="p100427"></a>a) идентифицировать персонал и заменяющих лиц с необходимой ответственностью, полномочиями и компетенцией для выполнения назначенных функций;
<a id="p100428"></a>b) установить документированные процедуры управления действиями персонала (см. 8.4.4), в том числе для инициирования, выполнения, координации и обмена информацией об ответных мерах на нарушение деятельности организации.

##### <a id="p100429"></a>8.4.3 Сигнал опасности и обмен информацией


###### <a id="p100430"></a>8.4.3.1 Организация должна документировать и поддерживать процедуры:

<a id="p100431"></a>a) обмена информацией с внутренними и внешними соответствующими заинтересованными сторонами, в том числе о вопросах, сроках и участниках обмена информацией;
<a id="p100432"></a>*Примечание* - Организация может документировать и поддерживать процедуры о способах и условиях обмена информацией с сотрудниками по аварийным контактам.

<a id="p100433"></a>b) получения, документирования и ответа при обмене информацией с заинтересованными сторонами, включая все государственные или региональные системы консультирования по риску или аналогичные структуры;
<a id="p100434"></a>c) обеспечения доступности средств связи при нарушении деятельности организации;
<a id="p100435"></a>d) облегчения структурированного обмена информацией с аварийными службами;
<a id="p100436"></a>e) предоставления подробной информации об ответных действиях организации в СМИ после инцидента, включая стратегию обмена информацией;
<a id="p100437"></a>f) записи деталей нарушения деятельности организации, предпринятых действий и принятых решений.

###### <a id="p100438"></a>8.4.3.2 Если применимо, должно быть учтено и применено следующее:

<a id="p100439"></a>a) аварийное оповещение заинтересованных сторон, которые могут быть затронуты фактическим или надвигающимся нарушением деятельности организации;
<a id="p100440"></a>b) обеспечение надлежащей координации и обмена информацией между несколькими ответственными организациями.
<a id="p100441"></a>Процедуры предупреждения и обмена информацией должны быть выполнены в соответствии с программой учений организации (см. 8.5.)

##### <a id="p100442"></a>8.4.4 Планы обеспечения непрерывности деятельности

<a id="p100443"></a>8.4.4.1 Организация должна документировать и поддерживать планы и процедуры обеспечения непрерывности деятельности. Эти планы должны обеспечивать руководство и информацию, чтобы помочь командам реагировать на нарушение деятельности организации и помочь организации в реагировании на нарушение деятельности и восстановлении последних.

###### <a id="p100444"></a>8.4.4.2 В совокупности планы обеспечения непрерывности деятельности должны содержать:

<a id="p100445"></a>a) подробное описание действий, которые команды должны предпринимать:
1) <a id="p100446"></a>для продолжения или восстановления приоритетных видов деятельности в течение заранее установленного периода времени;
2) <a id="p100447"></a>проведения мониторинга воздействия на нарушение деятельности организации и реагирования организации на них;
<a id="p100448"></a>b) ссылки на предварительно установленные пороговые значения и процесс инициирования ответных действий;
<a id="p100449"></a>c) процедуры, позволяющие доставлять товары и оказывать услуги в согласованном объеме;
<a id="p100450"></a>d) детали управления непосредственными последствиями нарушения деятельности организации с учетом:
1) <a id="p100451"></a>благосостояния физических лиц;
2) <a id="p100452"></a>предупреждения дальнейших потерь или недоступности приоритетных видов деятельности;
3) <a id="p100453"></a>воздействия на окружающую среду.

###### <a id="p100454"></a>8.4.4.3 Каждый план должен включать:

<a id="p100455"></a>a) цель, область применения и задачи;
<a id="p100456"></a>b) функции и обязанности команды, выполняющей план;
<a id="p100457"></a>c) действия по внедрению решений;
<a id="p100458"></a>d) вспомогательную информацию, необходимую для инициирования (включая критерии инициирования), работы, координации и обмена информацией о действиях команды;
<a id="p100459"></a>e) внутренние и внешние взаимозависимости;
<a id="p100460"></a>f) требования к ресурсам;
<a id="p100461"></a>g) требования к отчетности;
<a id="p100462"></a>h) процесс остановки или окончания реализации плана.
<a id="p100463"></a>Каждый план должен быть применимым и доступным в требуемое время и в требуемом месте.

##### <a id="p100464"></a>8.4.5 Восстановление

<a id="p100465"></a>Организация должна иметь документированные процессы для восстановления приоритетной деятельности, начиная с временных мер, принятых во время и после нарушения деятельности организации.

#### <a id="p100466"></a>8.5 Программа учений

<a id="p100467"></a>Организация должна разработать и поддерживать программу обучения и тестирования, чтобы со временем подтвердить результативность своих стратегий и решений по обеспечению непрерывности деятельности.
<a id="p100468"></a>Организации необходимо проводить обучение и тестирование, которые должны:
<a id="p100469"></a>a) соответствовать целям обеспечения непрерывности деятельности;
<a id="p100470"></a>b) основываться на соответствующих сценариях, согласованных с установленными целями и задачами;
<a id="p100471"></a>c) развивать командную работу, компетентность, уверенность и знания сотрудников, выполняющих функции, связанные с нарушениями деятельности организации;
<a id="p100472"></a>d) (вместе взятые) проверять стратегии и решения организации по обеспечению непрерывности деятельности;
<a id="p100473"></a>e) готовить официальные отчеты об учениях, содержащие результаты, рекомендации и действия по реализации улучшений;
<a id="p100474"></a>f) обеспечивать анализ со стороны руководства для содействия постоянному улучшению;
<a id="p100475"></a>g) выполнять через запланированные интервалы времени и при значительных изменениях в организации или области применения, в которой она работает.
<a id="p100476"></a>Организация должна действовать исходя из результатов проверок и тестирования для внесения изменений и улучшений.

#### <a id="p100477"></a>8.6 Оценка документации в области обеспечения непрерывности деятельности и возможностей

<a id="p100478"></a>Организация должна:
<a id="p100479"></a>a) оценивать пригодность, адекватность и результативность анализа воздействий на деятельность, оценки риска, стратегий, решений, планов и процедур;
<a id="p100480"></a>b) проводить оценку с помощью проверок, анализа, упражнений, тестов, отчетов о происшествиях и оценки результативности;
<a id="p100481"></a>c) проводить оценки возможностей в области обеспечения непрерывности деятельности соответствующих партнеров и поставщиков;
<a id="p100482"></a>d) оценивать соответствие применимым законодательным и обязательным требованиям, лучшим отраслевым практикам и своим политике и целям в области обеспечения непрерывности деятельности;
<a id="p100483"></a>e) своевременно обновлять документацию и процедуры.
<a id="p100484"></a>Данные оценки необходимо проводить через запланированные интервалы времени, после инцидента или активации и в ситуации, когда происходят значительные изменения в организации.


### <a id="p100485"></a>9 Оценка показателей СМНД



#### <a id="p100486"></a>9.1 Мониторинг, измерение, анализ и оценка

<a id="p100487"></a>Организация должна определить:
<a id="p100488"></a>a) объекты мониторинга и измерения;
<a id="p100489"></a>b) методы мониторинга, измерения, анализа и оценки (что применимо), обеспечивающие достоверные результаты;
<a id="p100490"></a>c) сроки и исполнителей мониторинга и измерений;
<a id="p100491"></a>**d) сроки и исполнителей выполнения анализа и оценки результатов анализа и измерений.**
<a id="p100492"></a>Организация должна хранить соответствующую документированную информацию в качестве объективных свидетельств полученных результатов.
<a id="p100493"></a>Организация должна оценить показатели и результативность СМНД.

#### <a id="p100494"></a>9.2 Внутренний аудит


##### <a id="p100495"></a>9.2.1 Общие положения

<a id="p100496"></a>Организация должна проводить внутренние аудиторские проверки через запланированные промежутки времени, чтобы получить информацию о том, что СМНД:
<a id="p100497"></a>a) соответствует:
1) <a id="p100498"></a>требованиям организации к своей СМНД;
2) <a id="p100499"></a>требованиям настоящего стандарта;
<a id="p100500"></a>b) результативно функционирует и поддерживается в рабочем состоянии.

##### <a id="p100501"></a>9.2.2 Программа(ы) аудита

<a id="p100502"></a>Организация должна:
<a id="p100503"></a>a) планировать, устанавливать, внедрять и поддерживать в рабочем состоянии программу(ы) аудита, включая требования к частоте проведения, методам, распределению обязанностей, планированию и отчетности, при этом необходимо учитывать важность соответствующих процессов и результаты предыдущих аудитов;
<a id="p100504"></a>b) определять критерии и область применения каждого аудита;
<a id="p100505"></a>c) выбирать аудиторов и проводить аудиты так, чтобы обеспечить объективность и беспристрастность процесса аудита;
<a id="p100506"></a>d) обеспечить, чтобы результаты аудита были доведены до сведения соответствующих руководителей;
<a id="p100507"></a>e) хранить документированную информацию в качестве объективных свидетельств реализации программ(ы) аудита и результатов аудита;
<a id="p100508"></a>f) обеспечить, чтобы все необходимые корректирующие действия по устранению обнаруженных несоответствий и их причин были выполнены без неоправданной задержки;
<a id="p100509"></a>g) обеспечить, чтобы последующие аудиторские действия предпринимались с учетом верификации предпринятых действий и отчетности о результатах верификации.

#### <a id="p100510"></a>9.3 Анализ со стороны руководства


##### <a id="p100511"></a>9.3.1 Общие положения

<a id="p100512"></a>Высшее руководство должно проверять СМНД организации через запланированные промежутки времени для обеспечения ее постоянной пригодности, адекватности и эффективности.

##### <a id="p100513"></a>9.3.2 Входные данные для анализа со стороны руководства

<a id="p100514"></a>Анализ со стороны руководства должен включать рассмотрение:
<a id="p100515"></a>a) статуса действий по результатам предыдущего анализа со стороны руководства;
<a id="p100516"></a>b) изменения во внешних и внутренних проблемах, которые имеют отношение к СМНД;
<a id="p100517"></a>c) информации о показателях работы СМНД, включая тенденции:
1) <a id="p100518"></a>несоответствий и корректирующих действий;
2) <a id="p100519"></a>результатов мониторинга и оценки измерений;
3) <a id="p100520"></a>результатов аудита;
<a id="p100521"></a>d) отзывов заинтересованных сторон;
<a id="p100522"></a>e) необходимости изменений СМНД, включая политику и цели;
<a id="p100523"></a>f) процедур и ресурсов, которые можно использовать в организации для улучшения показателей результативности СМНД;
<a id="p100524"></a>g) информации, полученной на основе воздействий анализа на деятельность и оценки риска;
<a id="p100525"></a>h) результатов оценки документации и возможностей по обеспечению непрерывности деятельности (см. 8.6);
<a id="p100526"></a>i) риска или проблем, которые не были адекватно рассмотрены при предыдущей оценке риска;
<a id="p100527"></a>j) извлеченных уроков и действий, возникших в результате промахов и нарушения деятельности организации;
<a id="p100528"></a>k) возможностей постоянного улучшения.

##### <a id="p100529"></a>9.3.3 Анализ результатов со стороны руководства

<a id="p100530"></a>9.3.3.1 Результаты анализа со стороны руководства должны включать решения, касающиеся возможностей постоянного улучшения и необходимости внесения изменений в СМНД для повышения ее результативности и эффективности, включая следующее:
<a id="p100531"></a>a) изменения в области применения СМНД;
<a id="p100532"></a>b) обновление анализа воздействий на деятельность, оценки риска, стратегий и решений и планов в области обеспечения непрерывности;
<a id="p100533"></a>c) изменение процедур и средств управления для реагирования на внутренние или внешние проблемы, воздействующие на СМНД;
<a id="p100534"></a>d) методы измерения результативности управления.
<a id="p100535"></a>9.3.3.2 Организация должна хранить документированную информацию в качестве объективных свидетельств результатов анализа со стороны руководства, включая:
<a id="p100536"></a>a) обмен информацией о результатах анализа со стороны руководства с заинтересованными сторонами;
<a id="p100537"></a>b) выполнение соответствующих действий в отношении полученных результатов.


### <a id="p100538"></a>10 Улучшение



#### <a id="p100539"></a>10.1 Несоответствующие и корректирующие действия

<a id="p100540"></a>10.1.1 Организация должна определить возможности улучшения СМНД и осуществить необходимые действия для достижения ожидаемых результатов.

##### <a id="p100541"></a>10.1.2 При возникновении несоответствия организация должна:

<a id="p100542"></a>a) реагировать на несоответствие и, если применимо:
1) <a id="p100543"></a>выполнять действия по управлению и корректировке;
<a id="p100544"></a>**2) устранять последствия;**
<a id="p100545"></a>b) оценить необходимость действий по устранению причин несоответствия, чтобы не допустить его возникновения в дальнейшем, путем:
1) <a id="p100546"></a>проведения анализа несоответствия;
2) <a id="p100547"></a>определения причин несоответствия;
3) <a id="p100548"></a>определения наличия подобных несоответствий и возможности их возникновения в дальнейшем;
<a id="p100549"></a>c) предпринять все необходимые действия;
<a id="p100550"></a>d) провести анализ результативности предпринятых корректирующих действий;
<a id="p100551"></a>e) внести изменения в СМНД, если это необходимо.
<a id="p100552"></a>Корректирующие действия должны соответствовать последствиям несоответствий.

##### <a id="p100553"></a>10.1.3 Организация должна хранить документированную информацию в качестве объективных свидетельств, включающую:

<a id="p100554"></a>a) описание несоответствий и последующих предпринятых действий;
<a id="p100555"></a>b) результаты корректирующих действий.

#### <a id="p100556"></a>10.2 Постоянное улучшение

<a id="p100557"></a>Организация должна постоянно улучшать пригодность, адекватность и результативность СМНД на основе качественных и количественных показателей.
<a id="p100558"></a>Организация должна рассмотреть результаты анализа и оценки, а также результаты анализа со стороны руководства, чтобы определить потребности или возможности, связанные с работой организации в целом или с СМНД, которые следует использовать для постоянного улучшения.
<a id="p100559"></a>*Примечание* - Организация может использовать процессы СМНД, такие как лидерство руководства, планирование и оценка результативности для достижения улучшения.





<a id="p100560"></a>Приложение ДА
(справочное)

<a id="p100561"></a>СВЕДЕНИЯ О СООТВЕТСТВИИ ССЫЛОЧНЫХ МЕЖДУНАРОДНЫХ СТАНДАРТОВ
НАЦИОНАЛЬНЫМ СТАНДАРТАМ

<a id="p100562"></a>Таблица ДА.1


<table>
<colgroup><col width="31%"><col width="13%"><col width="56%"></colgroup>
<tr><td><a id="p100563"></a>Обозначение ссылочного международного стандарта</td><td><a id="p100564"></a>Степень соответствия</td><td><a id="p100565"></a>Обозначение и наименование соответствующего национального стандарта</td></tr>
<tr><td><a id="p100566"></a>ISO 22300:2012</td><td><a id="p100567"></a>IDT</td><td><a id="p100568"></a>ГОСТ Р 22.0.12-2015 "Безопасность в чрезвычайных ситуациях. Международные термины и определения"</td></tr>
<tr><td colspan="3"><a id="p100569"></a><a id="p100570"></a>Примечание - В настоящей таблице использовано следующее условное обозначение степени соответствия стандарта:<br>- IDT - идентичный стандарт.</td></tr>
</table>







## <a id="p100571"></a>БИБЛИОГРАФИЯ



| <a id="p100572"></a>[1] | <a id="p100573"></a>ISO 9001, Quality management systems - Requirements |
| --- | --- |
| <a id="p100574"></a>[2] | <a id="p100575"></a>ISO 14001, Environmental management systems - Requirements with guidance for use |
| <a id="p100576"></a>[3] | <a id="p100577"></a>ISO 19011, Guidelines for auditing management systems |
| <a id="p100578"></a>[4] | <a id="p100579"></a>ISO/IEC/TS 17021-6, Conformity assessment - Requirements for bodies providing audit and certification of management systems - Part 6: Competence requirements for auditing and certification of business continuity management systems |
| <a id="p100580"></a>[5] | <a id="p100581"></a>ISO/IEC 20000-1, Information technology - Service management - Part 1: Service management system requirements |
| <a id="p100582"></a>[6] | <a id="p100583"></a>ISO 22313, Societal security, Business continuity management systems - Guidance |
| <a id="p100584"></a>[7] | <a id="p100585"></a>ISO 22316, Security and resilience - Organizational resilience - Principles and attributes |
| <a id="p100586"></a>[8] | <a id="p100587"></a>ISO/TS 22317, Societal security - Business continuity management systems - Guidelines for business impact analysis (BIA) |
| <a id="p100588"></a>[9] | <a id="p100589"></a>ISO/TS 22318, Societal security - Business continuity management systems - Guidelines for supply chain continuity |
| <a id="p100590"></a>[10] | <a id="p100591"></a>ISO/TS 22330, Security and resilience - Business continuity management systems - Guidelines for people aspects of business continuity |
| <a id="p100592"></a>[11] | <a id="p100593"></a>ISO/TS 22331, Security and resilience - Business continuity management systems - Guidelines for business continuity strategy |
| <a id="p100594"></a>[12] | <a id="p100595"></a>ISO/IEC 27001, Information technology - Security techniques - Information security management systems - Requirements |
| <a id="p100596"></a>[13] | <a id="p100597"></a>ISO/IEC 27031, Information technology - Security techniques - Guidelines for information and communication technology readiness for business continuity |
| <a id="p100598"></a>[14] | <a id="p100599"></a>ISO 28000, Specification for security management systems for the supply chain |
| <a id="p100600"></a>[15] | <a id="p100601"></a>ISO 31000, Risk management - Guidelines |
| <a id="p100602"></a>[16] | <a id="p100603"></a>IEC 31010, Risk management - Risk assessment techniques |
| <a id="p100604"></a>[17] | <a id="p100605"></a>ISO Guide 73, Risk management - Vocabulary |







<table>
<colgroup><col width="50%"><col width="50%"></colgroup>
<tr><td><a id="p100606"></a>УДК 658.562.012.7:65.012.122:006.354</td><td><a id="p100607"></a>ОКС 03.100.01; 03.100.70</td></tr>
<tr><td colspan="2"><a id="p100608"></a>Ключевые слова: надежность в технике, надежность, непрерывность деятельности, система менеджмента непрерывности деятельности</td></tr>
</table>




<a id="p100609"></a>

---