ГОСТ Р 53647.5-2012. Национальный стандарт Российской Федерации. Менеджмент непрерывности бизнеса. Готовность к опасным ситуациям и инцидентам

(утв. и введен в действие Приказом Росстандарта от 29.11.2012 № 1421-ст)

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

МЕНЕДЖМЕНТ НЕПРЕРЫВНОСТИ БИЗНЕСА

ГОТОВНОСТЬ К ОПАСНЫМ СИТУАЦИЯМ И ИНЦИДЕНТАМ

Business continuity management. Emergency and incident preparedness

ГОСТ Р 53647.5-2012

Предисловие

1. Подготовлен Автономной некоммерческой организацией «Научно-исследовательский центр контроля и диагностики технических систем» (АНО «НИЦ КД») на основе собственного аутентичного перевода международного стандарта, указанного в разделе 4.

2. Внесен Техническим комитетом по стандартизации ТК 10 «Менеджмент риска».

3. Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 29 ноября 2012 г. № 1421-ст.

4. Настоящий стандарт разработан с учетом основных нормативных положений международного документа IWA 5:2006 «Готовность к опасным ситуациям» (IWA 5:2006 Emergency preparedness, NEQ).

Наименование настоящего стандарта изменено относительно наименования указанного международного документа для приведения в соответствие с ГОСТ Р 1.5-2004 (подраздел 3.5).

5. Введен впервые.

Правила применения настоящего стандарта установлены в ГОСТ Р 1.0-2012 (раздел 8). Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (gost.ru).

Введение

В настоящее время в мировой практике недостаточно общепризнанных международных стандартов в области обеспечения готовности к инцидентам и опасным ситуациям. Происходящие крупномасштабные бедствия мирового уровня, такие как цунами, ураганы, землетрясения и терроризм, подчеркивают важность согласованности нормативной базы и международной координации в области обеспечения готовности к опасным ситуациям, выполнения ответных мер и усилий по восстановлению нормальной деятельности. Настоящий стандарт дает возможность обеспечить согласованность нормативной базы в области готовности к опасным ситуациям и обеспечению непрерывности деятельности организации.

Настоящий стандарт создан на основе существующих национальных стандартов в области готовности к опасным ситуациям, а также международных стандартов в области обеспечения безопасности, готовности к инцидентам и опасным ситуациям [1] - [6].

Для обеспечения единства целей и области применения стандарта установлены основные аспекты деятельности в области обеспечения готовности к инцидентам и опасным ситуациям:

• планирование действий в условиях опасных ситуаций и инцидентов;
• управление действиями в условиях опасных ситуаций и инцидентов;
• обеспечение непрерывности деятельности;
• менеджмент непрерывности бизнеса.

Существуют общие элементы системы обеспечения готовности к опасным ситуациям и инцидентам и обеспечения непрерывности бизнеса, при этом отдельные элементы системы допускается совмещать, исключать, дополнять другими элементами. В таблице 1 представлены общие элементы системы обеспечения готовности к опасным ситуациям и системы менеджмента непрерывности бизнеса, установленные в международных стандартах.

Основополагающими международными стандартами в области готовности к опасным ситуациям и обеспечению непрерывности деятельности являются стандарты NFPA 1600, BS 25999, HB 221, документы Японского промышленного комитета по стандартизации и института стандартизации Израиля (см. библиографию).

1. Область применения

Настоящий стандарт:

• представляет рекомендации в области готовности к опасным ситуациям и инцидентам;
• является основополагающим в данной области;
• применим для организаций всех форм собственности и размеров.

2. Нормативные ссылки

В настоящем стандарте использованы ссылки на следующие стандарты:

ГОСТ Р 51897-2011/Руководство ИСО 73:2009 Менеджмент риска. Термины и определения

ГОСТ Р 53647.2-2009 Менеджмент непрерывности бизнеса. Часть 2. Требования

ГОСТ Р 53647.1-2009 Менеджмент непрерывности бизнеса. Часть 1. Практическое руководство.

3. Термины и определения

В настоящем стандарте применены термины в соответствии с ГОСТ Р 51897, ГОСТ Р 53647.1 и ГОСТ Р 53647.2.

4. Система обеспечения готовности к опасным ситуациям и инцидентам и непрерывности деятельности

Одним из наиболее важных аспектов общественной безопасности является обеспечение готовности к опасным ситуациям и инцидентам и непрерывности деятельности.

В настоящем стандарте на основе стандартов [1] - [6] установлены два основных элемента этой системы:

1. обеспечение готовности к опасным ситуациям и инцидентам (Приложение A);

2. обеспечение непрерывности деятельности (Приложение B).

Содержание Приложений A и B представлено только для информации и не может быть применено в качестве обязательных требований.

На основе перечня основных элементов обеспечения готовности к опасным ситуациям и инцидентам и обеспечения непрерывности деятельности (см. Приложения A и B) можно идентифицировать основные элементы разрабатываемой системы (см. таблицу 1).

№ п/п	Элемент
1	Управление программами и администрирование
2	Определение законодательных, обязательных и других требований
3	Идентификация опасностей, оценка риска и анализ воздействий на деятельность
4	Снижение и предупреждение опасностей, разработка защитных мер
5	Менеджмент ресурсов
6	Взаимопомощь и взаимопонимание <1>
7	Планирование
8	Руководство, управление и координация в условиях инцидента или опасной ситуации
9	Обмен информацией и предупреждение об опасности
10	Процессы и процедуры, связанные с предупреждением и снижением опасности, обеспечением готовности к инцидентам, реализацией ответных мер и восстановлением деятельности организации
11	Логистика и оборудование
12	Обучение
13	Проведение учений, оценка системы и выполнение корректирующих действий
14	Обмен информацией в кризисных ситуациях и публичная информация
15	Финансирование
<1> Договоренность об общем понимании того или иного вопроса.

Приведенные в таблице 1 элементы обеспечения готовности к опасным ситуациям и инцидентам и обеспечения непрерывности деятельности могут быть использованы при разработке стандартов организации и при необходимости детализированы в дополнительных внутренних документах.

5. Потенциальные области исследования

Развитие системы обеспечения готовности к опасным ситуациям и инцидентам и обеспечение непрерывности деятельности осуществляется в следующих направлениях:

• обмен информацией об опасных ситуациях и инцидентах;
• готовность к опасным ситуациям и инцидентам на локальном уровне;
• готовность к воздействиям человеческого фактора.

Система обеспечения готовности к опасным ситуациям и инцидентам и непрерывности деятельности должна быть интегрирована с системой менеджмента риска и взаимоувязана с ней. Кроме того, необходимо обеспечить соответствие системы обеспечения готовности к опасным ситуациям и инцидентам и обеспечения непрерывности деятельности установленным требованиям организации.

6. Выводы

При создании системы обеспечения готовности к опасным ситуациям и инцидентам и непрерывности деятельности следует учитывать национальный и международный опыт в данной области. Использование мирового опыта позволит создать более совершенную систему обеспечения готовности к опасным ситуациям и инцидентам и непрерывности деятельности, соответствующую единым международным стандартам.

Основными элементами системы обеспечения готовности к опасным ситуациям и инцидентам являются:

• Управление программами и администрирование:

1. установление функций, ответственности и полномочий;

2. определение порядка взаимодействия с причастными сторонами;

3. определение требований причастных сторон;

4. применение подхода «Все опасности», охватывающего все виды риска;

5. проведение необходимых исследований.

• Определение обязательных требований.
• Идентификация опасностей, оценка риска и анализ воздействий на деятельность:

1. оценка влияния на деятельность человеческого фактора;

2. определение опасностей и угроз;

3. оценка риска (вероятности) опасного события;

4. оценка уязвимости;

5. оценка последствий;

6. определение конфиденциальности данных;

7. анализ экономической эффективности.

• Снижение и предупреждение опасностей, разработка защитных мер.
• Менеджмент ресурсов:

1. управление ресурсами;

2. управление персоналом (человеческими ресурсами);

3. планирование производительности труда.

• Взаимопомощь и взаимопонимание.
• Планирование.
• Руководство, управление и координация в условиях инцидента или опасной ситуации:

1. создание и обеспечение работы системы управления в условиях инцидента;

2. создание и обеспечение работы центра управления в опасной ситуации;

3. взаимодействие с аварийно-спасательными службами.

• Обмен информацией и предупреждение об опасности:

1. сигналы тревоги и информирование об опасности;

2. способы обмена информацией с заинтересованными сторонами.

• Процессы и процедуры, связанные с предупреждением и снижением опасности, обеспечением готовности к инцидентам, реализацией ответных мер и восстановлением деятельности организации:

1. снижение опасности;

2. обеспечение готовности к инцидентам;

3. разработка и выполнение ответных мер;

4. восстановление деятельности.

• Логистика и оборудование.
• Обучение.
• Проведение учений, оценка системы и выполнение корректирующих действий:

1. обеспечение качества обучения;

2. оценка результатов обучения.

• Обмен информацией в кризисных ситуациях и публикация информации.
• Финансирование.

B.1. Область применения обеспечения непрерывности деятельности (программы реагирования на опасные ситуации), анализ непрерывности деятельности организации, планирование:

• принятие обязательств высшего руководства;
• формирование рабочей группы;
• определение области применения;
• обсуждение плана обеспечения непрерывности деятельности;
• описание продукции организации, а также ее деятельности, ресурсов, систем и процессов;
• аудит или GAP-анализ <1>, направленные на исследование деятельности организации;
• определение регламентирующих и иных требований;
• определение опасных ситуаций и риска;
• оценка уязвимости организации;
• установление целей и задач;
• SWOT-анализ <2>.

---

<1> GAP-анализ (анализ разрывов) — метод стратегического анализа, с помощью которого осуществляется поиск действий, необходимых для достижения заданной цели (Прим. — пер.).

<2> SWOT-анализ — метод оценки слабых и сильных сторон организации, а также возможностей и угроз, которые могут быть в будущем.

B.2. Стратегия разработки и внедрения программы обеспечения непрерывности деятельности

B.2.1. Процессы обеспечения непрерывности деятельности/восстановления в опасных ситуациях

Общая схема основных процессов обеспечения непрерывности деятельности и восстановления после инцидента приведена на рисунке 1.

B.2.2. Разработка стратегии обеспечения непрерывности деятельности/восстановления после инцидента

При разработке стратегии обеспечения непрерывности деятельности/восстановления после инцидента организация может использовать следующие стандарты:

HB 221 Менеджмент непрерывности бизнеса (ответные меры; действия по обеспечению непрерывности деятельности; мероприятия по восстановлению деятельности; проверка системы) (см. [1]).

NFPA 1600 Менеджмент опасностей и аварийных ситуаций и управление программами обеспечения непрерывности бизнеса (разработка стратегии обеспечения непрерывности деятельности; план действий в условиях инцидента; план снижения риска и последствий инцидента; план восстановления деятельности после инцидента (краткосрочный и долгосрочный); план работ по обеспечению непрерывности деятельности) (см. [2]).

SI 24001 Системы менеджмента безопасности и непрерывности деятельности (программа обеспечения безопасности) (см. [3]).

BS 25999 Менеджмент непрерывности деятельности (определение общей стратегии обеспечения непрерывности деятельности; определение стратегии отдельных элементов обеспечения непрерывности деятельности; определение стратегии обеспечения безопасности людей; установление стратегии управления ресурсами и активами) (см. [4]).

JISC Серия стандартов по менеджменту качества и устойчивому росту (определение политики обеспечения непрерывности деятельности; разработка годового плана работ по обеспечению непрерывности деятельности; разработка организационной структуры обеспечения непрерывности деятельности и ее внедрение) (см. [5]).

B.3. Разработка и внедрение ответных мер

B.3.1. План управления в условиях инцидента должен содержать:

• введение и область применения;
• информацию о владельцах процесса;
• функции рабочей группы кризисного управления;
• порядок инициирования работ по плану мобилизации;
• порядок создания центра кризисного управления;
• распределение функций и ответственности членов рабочей группы кризисного управления;
• структуру подчиненности в условиях инцидента;
• способы анализа ситуации и документирования результатов;
• анализ воздействия человеческого фактора на деятельность организации с учетом изменения уровней безопасности, здоровья и благосостояния людей;
• порядок разработки планов действий;
• контактную информацию;
• порядок взаимодействия с причастными сторонами;
• приложения.

B.3.2. План обеспечения непрерывности деятельности

План обеспечения непрерывности деятельности должен включать:

• введение;
• цели и область применения;
• распределение функций и обязанностей;
• структуру подчиненности руководителей;
• перечень лиц, ответственных за план обеспечения непрерывности деятельности и его актуализацию;
• контактную информацию;
• порядок разработки планов действий и перечня задач;
• требования к ресурсам;
• перечень особо важной (жизненно-необходимой) информации;
• необходимые формы и приложения.

B.3.3. Содержание плана восстановления деятельности

План восстановления деятельности должен включать основные этапы восстановления деятельности организаций после возникновения опасных ситуаций и инцидентов. Планирование восстановления зависит от характера и сферы деятельности организаций. Содержание этапов плана восстановления должно быть достаточно подробным, позволяющим персоналу, вовлеченному в деятельность по восстановлению, понимать свои функции в восстановительной деятельности.

B.4. Внедрение обеспечения непрерывности деятельности и проведение необходимого обучения

B.4.1. Общие положения

Разработка, внедрение и поддержание в рабочем состоянии системы обеспечения непрерывности деятельности дает организации дополнительные конкурентные преимущества. Обеспечение непрерывности деятельности должно стать частью управления организацией. Если внедрение системы обеспечения непрерывности деятельности эффективно, то причастные стороны будут выше оценивать способность организации к восстановлению деятельности.

Необходимо учитывать, что создание и внедрение системы обеспечения непрерывности деятельности в организации может быть трудоемким процессом и столкнуться со значительным сопротивлением со стороны консервативно настроенного персонала.

В обеспечении непрерывности деятельности должен участвовать весь персонал организации. Каждый работник организации должен быть убежден, что обеспечение непрерывности деятельности — составляющая часть управления организацией и играет важную роль в обеспечении непрерывности поставки продукции и оказания услуг потребителям. Важно, чтобы элементом внедрения системы обеспечения непрерывности деятельности стало соответствующее обязательное обучение персонала.

Каждая организация имеет свой уровень консервативно настроенного персонала. Чаще всего — это руководители среднего звена организации. Особый акцент необходимо сделать на их вовлечение и мотивацию к внедрению системы обеспечения непрерывности деятельности в организации. Этот персонал играет наиболее важную роль при определении критических видов работ и процессов, и поэтому его поддержка (особенно на начальной стадии) очень важна для внедрения системы обеспечения непрерывности деятельности.

Персонал организации должен понимать важность и необходимость внедрения системы обеспечения непрерывности деятельности, должен видеть, что данная инициатива носит долгосрочный характер и исходит от высшего руководства организации. Персонал должен быть уверен, что его работа будет оценена при возникновении инцидентов и разрушений. Также важно, чтобы каждый работник, вовлеченный в реализацию планов обеспечения непрерывности деятельности, знал, какие действия следует предпринять для выполнения своих функций в соответствии с планом обеспечения непрерывности деятельности.

Вновь принятые на работу сотрудники организации должны быть информированы о политике и их участии в обеспечении непрерывности деятельности. Это может быть достигнуто путем включения соответствующих материалов в программы первичного инструктажа.

В организации должна быть обеспечена осведомленность персонала об общей программе обеспечения непрерывности деятельности. Применяемые для этого методы работы могут включать в себя газеты, выпускаемые организацией, электронные письма, интранет, совещания и общение с высшим руководством. При этом следует приводить примеры подразделений, успешно внедривших систему обеспечения непрерывности деятельности, а также особо отличившихся работников. Организация может исследовать и применять опыт работы других организаций при возникновении отказов и сбоев.

B.4.2. Основные элементы внедрения системы обеспечения непрерывности деятельности в организации

Для успешного внедрения системы обеспечения непрерывности деятельности в организации необходимо:

• выделение ресурсов в необходимом объеме;
• понимание руководством и причастными сторонами организации того, что обеспечение непрерывности деятельности является преимуществом организации и неотъемлемой частью успешного менеджмента;
• принятие официального заявления о политике в области непрерывности деятельности, согласованного причастными сторонами и исполнительным руководством;
• назначение ответственного за реализацию политики в области непрерывности деятельности из числа высшего руководства;
• консультации с руководителями среднего звена и вовлеченным персоналом организации по вопросам внедрения обеспечения непрерывности деятельности и их участия в этом процессе;
• распределение ответственности и полномочий в области непрерывности деятельности во всех структурах организации (не только в области управления оборудованием или информационных технологий), назначение руководителей, ответственных за обеспечение непрерывности деятельности ключевых элементов и подразделений организации;
• проведение обучения, внедрение программ повышения осведомленности и участие персонала в учениях по обеспечению непрерывности деятельности.

Примечание. Обучение персонала и учения по обеспечению непрерывности деятельности необходимо использовать для совершенствования системы обеспечения непрерывности деятельности в организации. Программы обучения и учения по обеспечению непрерывности деятельности должны обеспечивать повышение осведомленности персонала организации о способах обеспечения непрерывности деятельности, а также совершенствование навыков, знаний и опыта, необходимых для внедрения, поддержки и управления обеспечением непрерывности бизнеса. Программы обучения по обеспечению непрерывности деятельности должны включать принципы менеджмента риска и методы анализа риска [7], [8].

Дополнительно в системе обеспечения непрерывности деятельности могут быть применены следующие элементы:

• интегрирование системы обеспечения непрерывности деятельности в процессы премирования и поощрения персонала;
• интегрирование системы обеспечения непрерывности деятельности в процессы повышения производительности труда и его оценки;
• включение функций, ответственности, обязанностей и полномочий в области непрерывности деятельности в инструкции с указанием необходимых навыков;
• включение вопросов обеспечения непрерывности деятельности в повестку дня регулярных совещаний в организации;
• обеспечение активного участия значимых потребителей и высшего руководства в учениях, занятиях и проверках в области непрерывности деятельности;
• разработка программы вовлечения ключевых поставщиков, подрядчиков и дистрибьюторов в изучение методов обеспечения непрерывности деятельности и установление соответствующих процессов обмена информацией;
• разработка процесса менеджмента непрерывности деятельности, связанного с мониторингом эффективности обучения и учений в организации.

Взаимосвязь элементов систем обеспечения готовности к опасным ситуациям и инцидентам и обеспечения непрерывности деятельности приведена на рисунке 2. Данная схема предназначена только для информации.

	Система обеспечения готовности к опасным ситуациям		Система обеспечения непрерывности деятельности
	Общие процессы/действия/среда
	Ответные меры, восстановление, снижение риска, предупреждающие действия, планирование, валидация, идентификация опасностей, предупреждение и информирование об опасности, распределение функций и ответственности, оценка последствий, сотрудничество между респондентами, защита, регулирующие требования, анализ, влияние человеческого фактора
	Особенности
	Обычно система связана с опасностями в результате человеческих ошибок и опасностями естественного происхождения и направлена на защиту жизни людей, окружающей среды, критических элементов инфраструктуры. Обеспечение готовности к опасным ситуациям предусматривает управление ответными действиями при возникновении инцидентов, в том числе проведение внутренних аварийно-спасательных действий, и разработку планов готовности к опасным ситуациям в ответ на соответствующие обязательные требования (обычно для опасных работ или объектов)	Взаимосвязь	Обычно обеспечение непрерывности деятельности связано с устранением воздействия инцидентов на процессы и деятельность организации и на защиту интересов акционеров, персонала, экономики и бизнеса. Обеспечение непрерывности деятельности предусматривает обеспечение готовности к опасным ситуациям и является одним из способов действий в опасных ситуациях. Управление в условиях инцидента влияет на репутацию организации. Обеспечение непрерывности деятельности направлено на восстановление бизнеса

Общие элементы менеджмента программы обеспечения готовности к опасным ситуациям и инцидентам и непрерывности деятельности должна включать:

• Область применения обеспечения готовности к опасным ситуациям и инцидентам и непрерывности деятельности:

1. определение общих элементов, их пересечений и границ (пороговая идентификация);

2. определение «уровней» систем (следует определить различные уровни работы систем и количество порогов);

3. определение словаря организации (например, RTO <1>, RPO <2>);

4. идентификация способов эскалации аварий и инцидентов, координация отчетности об этом процессе (распределение функций и ответственности, стратегическая структура).

---

<1> RTO — Термин RTO это время, которое необходимо системе для восстановления своей работы и возобновления обслуживания, — целевой срок восстановления (recovery time objective).

<2> RPO — Термин RPO используется для резервного копирования, это время последнего копирования — точка доступности данных (return point objective).

БИБЛИОГРАФИЯ

[1]	HB 221:2004 Business Continuity Management <1>
[2]	NFPA 1600:2007 Standard on Disaster/Emergency Management and Business Continuity Programs <2>
[3]	SI 24001:2007 Security and continuity management systems — Requirements and guidance for use of the Standards Institution of Israel (SII) <3>
[4]	BS 25999 Business continuity management <4>
[5]	JIS Q 9005:2005 Quality management systems — Guidelines for sustainable growth <5>
[6]	JIS Q 9006:2005 Quality management systems — Guidelines for self-assessment <5>
[7]	ГОСТ Р ИСО 31000-2010 Менеджмент риска. Принципы и руководство
[8]	ГОСТ Р ИСО/МЭК 31010-2011 Менеджмент риска. Методы оценки риска.

---

<1> Стандарт Австралии.

<2> Стандарт международной некоммерческой организации по обеспечению пожарной, электрической безопасности и безопасности строительства.

<3> Стандарт Израиля.

<4> Стандарт Великобритании.

<5> Стандарт Японии.

---