ГОСТ Р ИСО 30301-2014. Национальный стандарт Российской Федерации. Информация и документация. Системы менеджмента записей. Требования

(утв. и введен в действие Приказом Росстандарта от 28.05.2014 № 460-ст)

от 28 мая 2014 г. № 460-ст

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

ИНФОРМАЦИЯ И ДОКУМЕНТАЦИЯ

СИСТЕМЫ МЕНЕДЖМЕНТА ЗАПИСЕЙ. ТРЕБОВАНИЯ

Information and documentation — Management systems for records — Requirements

ISO 30301:2011 Information and documentation — Management systems for records — Requirements (IDT)

Предисловие

1. Подготовлен Открытым акционерным обществом «Всероссийский научно-исследовательский институт сертификации» (ОАО «ВНИИС») на основе собственного аутентичного перевода на русский язык международного стандарта, указанного в пункте 4.

2. Внесен Техническим комитетом по стандартизации ТК 076 «Системы менеджмента».

3. Утвержден и введен в действие Приказом Федерального агентства по техническому регулированию и метрологии от 28 мая 2014 г. № 460-ст.

4. Настоящий стандарт идентичен международному стандарту ИСО 30301:2011 «Информация и документация. Системы менеджмента записей. Требования» (ISO 30301:2011 «Information and documentation — Management systems for records — Requirements»).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в справочном Приложении ДА.

5. Введен впервые.

Правила применения настоящего стандарта установлены в ГОСТ Р 1.0-2012 (раздел 8). Информация об изменениях к настоящему стандарту публикуется в ежегодно издаваемом информационном указателе «Национальные стандарты», а текст изменений и поправок — в ежемесячно издаваемых информационных указателях «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ежемесячно издаваемом информационном указателе «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования — на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (gost.ru).

Введение

Успех функционирования организации в существенной степени зависит от внедрения и поддержания в работоспособном состоянии системы менеджмента, которая предназначена для постоянного улучшения эффективности деятельности и одновременного удовлетворения нужд всех заинтересованных сторон. Системы менеджмента основаны на методологиях, помогающих в принятии решений и в управлении ресурсами для достижения целей организации.

Формирование и ведение записей являются неотъемлемой частью деятельности, процессов и систем любой организации. Они обеспечивают эффективность деятельности, возможность ведения учета, менеджмент рисков и устойчивость функционирования организации. Они также дают возможность организациям извлекать выгоду из ценности своих информационных ресурсов как производственных, коммерческих и интеллектуальных активов и содействовать сохранению коллективной памяти в условиях глобальной и цифровой среды.

Стандарты на системы менеджмента (ССМ) предоставляют возможность высшему руководству применять системный и надежный подход к управлению организацией в условиях, стимулирующих надежную деловую практику.

Стандарты на системы менеджмента записей, разрабатываемые ИСО/ТК 46/ПК 11, призваны помогать организациям всех видов и масштабов или группам организаций, осуществляющих совместную предпринимательскую деятельность, во внедрении, использовании и совершенствовании результативных систем менеджмента записей (далее — СМЗ). СМЗ направляет и контролирует организацию с целью выработки политики и определения задач, связанных с ведением записей, и решения этих задач. Это осуществляется за счет использования:

a) строго определенных функций и обязанностей;

b) систематизированных процессов;

c) измерений и оценивания;

d) анализа и совершенствования.

Осуществление политики ведения записей и решение задач, полностью основанных на требованиях организации, будут способствовать формированию достоверной и надежной информации и получению подтверждений о предпринимательской деятельности, ведению такой информации и предоставлению ее тем, кто в ней нуждается, в течение необходимого периода времени. Успешная реализация надежной политики ведения записей и решение соответствующих задач способствуют формированию записей и созданию систем управления записями, отвечающих всем целям организации.

Внедрение СМЗ в организации также гарантирует прозрачность и прослеживаемость решений, принимаемых ответственными руководителями, и осознание общественных интересов.

Стандарты на СМЗ разрабатываются ИСО/ТК 46/ПК 11 в рамках стандартов на системы менеджмента (ССМ) для обеспечения совместимости с другими ССМ и использования общих элементов и методологии. ИСО 15489 и другие международные стандарты и технические отчеты, также разработанные ИСО/ТК 46/ПК 11, служат основными инструментами проектирования, внедрения, мониторинга и совершенствования документооборота и управления записями, осуществляемых в рамках СМЗ, когда организации принимают решение о внедрении методологии ССМ.

Примечание. ИСО 15489 является основополагающим стандартом, систематизирующим оптимальные методы ведения записей.

На рисунке 1 показана структура стандартов на СМЗ, разрабатываемых ИСО/ТК 46/ПК 11, которые либо уже опубликованы, либо находятся в стадии подготовки.

Эти стандарты предназначены для использования:

• высшим руководством, принимающим решения о формировании и внедрении систем менеджмента в рамках своей организации;
• персоналом, отвечающим за внедрение СМЗ, в частности специалистами по менеджменту рисков, аудитам, документообороту, информационным технологиям и информационной безопасности.

СМЗ определяет требования и ожидания заинтересованных сторон (потребителей и основных участников) к ведению записей и путем использования необходимых процессов формирует записи, удовлетворяющие этим требованиям и ожиданиям.

На рисунке 2 показаны структура СМЗ и связи с потребителями и основными партнерами.

1. Область применения

Настоящий стандарт устанавливает требования, которым должна отвечать СМЗ, чтобы помочь организации в выполнении своих обязательств, назначении, стратегии и достижении целей. Настоящий стандарт касается разработки и реализации политики и целей ведения записей и предоставляет сведения о результатах измерений и мониторинга.

СМЗ может создаваться организацией или группой организаций, осуществляющих совместную предпринимательскую деятельность. Используемый в настоящем стандарте термин «организация» не ограничивается одной организацией, а включает и другие организационные структуры.

Настоящий стандарт применим к любой организации, желающей:

a) сформировать, внедрить, поддерживать в работоспособном состоянии и совершенствовать СМЗ в поддержку своей основной деятельности;

b) удостовериться в правильности проведения своей заявленной политики ведения записей;

c) продемонстрировать соответствие настоящему стандарту путем:

1. проведения самооценки и самодекларирования;

2. запрашивания подтверждения своего самодекларирования у сторонней организации;

3. обращения к сторонней организации на предмет проведения сертификации своей СМЗ.

Настоящий стандарт может применяться наряду с другими стандартами на системы менеджмента (ССМ). Он особенно полезен для демонстрации выполнения требований других ССМ к документации и записям.

2. Нормативные ссылки

Приведенный ниже ссылочный документ необходим для использования настоящего стандарта. Для датированных ссылок применяют только ту версию, которая была упомянута в тексте. Для недатированных ссылок необходимо использовать самое последнее издание документа (включая любые поправки).

ИСО 30300 Информация и документация. Системы менеджмента записей. Основные положения и словарь (ISO 30300:2011 Information and documentation. Management systems for records. Fundamentals and vocabulary).

3. Термины и определения

В настоящем стандарте применены термины и определения по ИСО 30300.

4. Среда организации

4.1 Понимание внешней и внутренней среды организации

При формировании и доработке СМЗ организация должна принимать во внимание соответствующие внешние и внутренние факторы.

Следует документировать внешние и внутренние факторы, выявленные и принимаемые во внимание при формировании и доработке СМЗ.

Понимание внешней среды организации включает в себя помимо прочего:

a) понимание социальных и культурных, правовых, нормативных, финансовых, научно-технических, экономических, природных и конкурентных условий, будь то международные, национальные, региональные или местные;

b) понимание ключевых движущих сил и тенденций, которые могут оказывать влияние на цели организации;

c) понимание взаимосвязей с внешними заинтересованными сторонами и восприятие их ценностей и ожиданий.

Понимание внутренней среды организации включает в себя помимо прочего:

1. методы корпоративного управления, организационную структуру, функции и обязанности;

2. политику, цели, задачи и стратегии, реально действующие и требующие реализации и достижения;

3. возможности с точки зрения ресурсов и знаний (например, капитал, время, персонал, процессы, системы и технологии);

4. информационные системы, информационные потоки и процессы принятия решений (как официальные, так и неофициальные);

5. взаимосвязи с внутренними заинтересованными сторонами, восприятие ими ценностей и культуры организации;

6. стандарты, руководящие положения и модели, принятые в организации;

7. форму и масштабы договорных взаимоотношений.

4.2 Бизнес-требования, законодательные и другие требования

При установлении и пересмотре своих целей в области ведения записей организация должна принимать во внимание бизнес-требования, законодательные, нормативные и другие требования, относящиеся к формированию записей и управлению ими.

Организация должна оценивать и документировать бизнес-требования, законодательные, нормативные и другие требования, влияющие на ее деятельность, которую она должна выполнять и для выполнения которой требуется свидетельство соответствия.

Бизнес-требования включают все требования к должному выполнению работ или деятельности организации. Требования возникают в связи с текущими показателями деятельности, будущими планами и развитием, управлением рисками и планированием устойчивости функционирования организации.

Законодательные требования включают требования, относящиеся к формированию и ведению записей. Источниками законодательных требований являются:

a) статутное и прецедентное право, включая законы и регламенты, определяющие отраслевую и общую деловую среду;

b) законы и регламенты, относящиеся непосредственно к свидетельствам, записям и архивам, доступу, конфиденциальности, защите данных и информации, а также к электронной торговле;

c) конституционно-правовой статус организаций, уставы или соглашения, стороной в которых является организация;

d) условия договоров и других инструментов, которые организация юридически обязана выполнять.

К другим требованиям относятся неузаконенные добровольные обязательства, которые на себя принимает организация:

• добровольные кодексы лучшей практики;
• добровольные кодексы поведения и корпоративной этики;
• идентифицируемые ожидания сообщества относительно того, что является допустимым поведением для определенной отрасли или организации, включая надлежащее управление, должный контроль за мошенническим или злонамеренным поведением и прозрачность принятия решений.

4.3 Определение области применения системы менеджмента записей

Организация должна определить и документировать область применения своей системы менеджмента записей.

Область применения СМЗ может охватывать всю организацию, конкретные функциональные подразделения организации, конкретные участки организации или одно или несколько функциональных подразделений в рамках группы организаций.

При создании СМЗ для одного или нескольких конкретных функциональных подразделений в рамках группы организаций область применения СМЗ должна включать взаимоотношения между субъектами и роль каждого субъекта.

В том случае, когда организация передает стороннему исполнителю любой процесс, влияющий на соответствие требованиям к СМЗ, организация должна обеспечить контроль за такими процессами. Управление исполнителями и процессами, переданными сторонним исполнителям, должно быть определено в рамках области применения СМЗ.

5. Лидирующая роль руководства

5.1 Обязательства руководства

Высшее руководство должно демонстрировать свои обязательства путем:

• обеспечения совместимости СМЗ со стратегическим направлением организации;
• включения требований к СМЗ в бизнес-процессы организации;
• предоставления ресурсов для создания, внедрения, поддержания в работоспособном состоянии и постоянного улучшения СМЗ;
• информирования о значимости результативной СМЗ и выполнения требований к СМЗ;
• обеспечения достижения СМЗ намеченных результатов;
• направления и поддержки постоянного совершенствования.

Примечание. Ссылка на «бизнес» в настоящем стандарте имеет широкое толкование и означает ту деятельность, которая является ключевой для обеспечения существования организации.

5.2 Политика

Высшее руководство должно разрабатывать политику ведения записей. Такая политика должна:

• соответствовать целям организации;
• обеспечивать основу для установления целей управления записями;
• включать обязательство по выполнению действующих требований;
• доводиться до сведения всех работников организации;
• предоставляться заинтересованным сторонам по мере необходимости.

Организация должна сохранять документально оформленную информацию о политике ведения записей.

Политика ведения записей должна включать стратегические планы высшего уровня в отношении создания и управления достоверными, надежными и пригодными для использования записями, способными обеспечивать выполнение функций и операций организации и защищать целостность этих записей до тех пор, пока они могут потребоваться.

Организация должна обеспечивать доведение политики ведения записей до всех уровней организации и внедрение ее на всех уровнях, а также доведение ее до сведения всех субъектов или лиц (таких как партнеры или подрядчики), работающих с ней или действующих от ее лица.

5.3 Функции, обязанности и полномочия организации

5.3.1 Общие положения

Высшее руководство должно обеспечить определение, распределение и доведение до всех работников организации, а также до субъектов или отдельных лиц, взаимодействующих с организацией или действующих от ее имени, функций, обязанностей и полномочий, связанных с менеджментом записей.

Обязанности должны распределяться соответствующим образом среди всего персонала в соответствующих подразделениях и на соответствующих уровнях в рамках организации, в частности среди высшего руководства, руководителей программ, специалистов по ведению записей, специалистов по информационным технологиям, системных администраторов и всех других в соответствии со своими обязанностями, которые формируют записи и управляют ими как частью своей работы.

Лидирующая роль во внедрении СМЗ должна принадлежать конкретному представителю высшего руководства. В тех случаях, когда этого требуют масштабы и сложность организации, а также ее процессы управления записями, конкретная роль должна быть отведена представителю руководства по работе с записями, имеющему специальную подготовку и компетентность. Распределение обязанностей и их взаимосвязи должны быть документированы.

5.3.2 Обязанности руководства

Из состава высшего руководства должен быть назначен конкретный представитель, который, независимо от других обязанностей, должен нести ответственность за:

a) принятие мер по формированию, внедрению и поддержанию в должном состоянии в соответствии с требованиями настоящего стандарта;

b) содействие осведомленности о СМЗ по всей организации;

c) должное распределение функций и обязанностей, определенных в СМЗ, и обеспечение компетентности персонала, выполняющего эти функции.

Примечание. В зависимости от сложности структуры организации обязанности могут предоставляться конкретному должностному лицу или группе лиц.

5.3.3 Оперативные обязанности

Высшее руководство организации должно назначить конкретного представителя руководства по работе с записями, который должен выполнять определенную роль, иметь определенные обязанности и полномочия, в том числе:

a) внедрение СМЗ на оперативном уровне;

b) представление отчетов высшему руководству по результативности СМЗ для проведения анализа, включая рекомендации по совершенствованию;

c) установление связей с внешними сторонами по вопросам, касающимся СМЗ.

Примечание. Функции представителя руководства и представителя оперативного отдела по работе с записями могут выполняться одним и тем же лицом или группой лиц.

6. Планирование

6.1 Меры по изучению рисков и возможностей

Организация должна анализировать вопросы, приведенные в 4.1, и требования, приведенные в 4.2, и определять риски и возможности, которые должны быть изучены, с целью:

a) обеспечения достижения СМЗ намеченных результатов;

b) предотвращения нежелательных последствий;

c) реализации возможностей для совершенствования.

Организация должна оценивать потребность в планировании мер по изучению таких рисков и возможностей и в соответствующих случаях:

• включать и реализовывать эти меры в процессах СМЗ (см. 8.1);
• обеспечивать наличие информации для оценивания результативности таких мер (см. 9.1).

6.2 Цели управления записями и планы по их достижению

Высшее руководство должно обеспечивать установление целей управления записями и доведение их до сведения соответствующих функциональных подразделений и уровней в рамках организации.

Цели управления записями должны:

a) соответствовать политике ведения записей;

b) быть измеримыми (при наличии возможности);

c) принимать во внимание действующие требования;

d) подвергаться мониторингу и актуализации по мере необходимости.

Цели управления записями должны определяться на основе анализа деятельности организации. Они должны определять участки, на которых в наибольшей степени возможно применение законодательства, регламентов, других стандартов и оптимальных методов для формирования записей, относящихся к деятельности организации.

Цели управления записями должны учитывать масштабы организации, характер ее деятельности, ее продукцию и услуги, а также местоположение, правовую/административную систему и культурную среду, в которой она функционирует.

Организация должна сохранять документально оформленную информацию, касающуюся целей управления записями.

Для достижения своих целей управления записями организация должна определить:

• кто будет нести ответственность;
• какие шаги будут предприняты;
• какие ресурсы потребуются;
• когда это будет завершено;
• как будут оцениваться результаты.

7. Обеспечение

7.1 Ресурсы

Высшее руководство должно выделять и обеспечивать наличие ресурсов, необходимых для функционирования СМЗ.

Управление ресурсами включает:

a) наделение ответственностью персонала, способного выполнять функции, определенные в СМЗ;

b) периодическую проверку компетентности и уровня подготовки такого персонала;

c) поддержание и устойчивость ресурсов и технической инфраструктуры.

7.2 Компетентность

Организация должна:

a) определять необходимую компетентность персонала, выполняющего работу под ее управлением, которая влияет на эффективность ее процессов и систем управления записями;

b) гарантировать наличие у персонала достаточной квалификации как результата полученного образования, подготовки и опыта;

c) при необходимости принимать меры для приобретения необходимой компетентности и оценивать результативность принимаемых мер;

d) сохранять соответствующую документированную информацию как свидетельство компетентности.

Примечание. К принимаемым мерам может, в частности, относиться организация подготовки, обучение или назначение на новые должности работников организации или прием на работу, или привлечение для выполнения работ компетентных специалистов.

7.3 Информированность и подготовка

Организация должна обеспечивать осведомленность работников:

a) о необходимости и значимости их персональной деятельности и о том, как они способствуют достижению целей СМЗ;

b) о важности соответствия политике и процедурам СМЗ, а также требованиям системы менеджмента;

c) о важных аспектах СМЗ и связанных с ними фактических или потенциальных воздействиях на их работу и о преимуществах качественного выполнения рабочих заданий;

d) об их функциях и обязанностях по выполнению требований СМЗ;

e) о потенциальных последствиях отклонения от установленных процедур.

Организация должна разработать постоянно действующую программу обучения процессу формирования и управления записями. Программы обучения требованиям и методам управления записями должны охватывать весь персонал организации, включая подрядчиков и персонал других организаций в случае необходимости. Требуемые компетенция и квалификация различных специалистов в отношении управления записями должны оцениваться, идентифицироваться и включаться в программы подготовки, разрабатываемые и предоставляемые организацией.

7.4 Обмен информацией

Организация должна разрабатывать, внедрять, документировать и поддерживать в рабочем состоянии процедуры внутреннего обмена информацией о СМЗ и своей политике и целях ведения записей. Внутренний обмен информацией для обеспечения результативности СМЗ должен включать распределение обязанностей, операционные процедуры и доступ к документации.

Организация должна принимать решения о необходимости передачи информации о своей СМЗ другим субъектам (например, при наличии совместных бизнес-процессов). Если принимается решение о передаче информации, организация должна разработать средства передачи информации. В зависимости от уровня взаимодействия с внешними сторонами, такими как подрядчики, заказчики и поставщики, речь может идти о передаче информации о СМЗ и ее целях на высоком уровне или передаче документации о конкретных процедурах.

7.5 Документация

7.5.1 Общие положения

Организация должна документировать свою СМЗ. Это включает наличие санкционированных заявлений:

a) об области применения СМЗ;

b) о политике и целях;

c) о взаимозависимости и взаимосвязях между СМЗ и другими системами менеджмента организации или между организациями;

d) о документированных процедурах согласно требованиям настоящего стандарта;

e) о документации, которую организация считает необходимой для обеспечения результативного планирования, функционирования и управления процессами.

Примечания

1. Термин «документированная процедура», который встречается в настоящем стандарте, означает, что процедура была разработана, документирована, внедрена и поддерживается в рабочем состоянии.

2. Объем документации СМЗ может отличаться в зависимости от организации вследствие:

• масштабов организации и видов деятельности, которой она занимается;
• границ и сложности внедренных и реализуемых процессов управления записями и систем учетных документов, в том числе в тех случаях, когда в предпринимательской деятельности участвуют несколько организаций.

7.5.2 Управление документацией

Необходимо управлять документацией, которая требуется для функционирования СМЗ. Документированная процедура должна определять средства управления, необходимые для:

a) одобрения документации на предмет адекватности до ее выпуска;

b) анализа, актуализации и повторного утверждения документации;

c) обеспечения идентификации изменений и текущего статуса пересмотра документации;

d) обеспечения наличия в местах использования соответствующих версий действующих документов;

e) обеспечения удобочитаемости и идентифицируемости документации;

f) обеспечения идентификации документации внешнего происхождения и управления ее распространением;

g) предотвращения непреднамеренного использования устаревшей документации и идентификации ее как таковой, если она будет использоваться в каких-либо целях.

К документации СМЗ относят записи, ведение которых осуществляется в системе записей. Процедуры формирования и управления документацией СМЗ должны соответствовать общим процедурам формирования и ведения записей (см. 8.2, перечисление c).

8. Функционирование

8.1 Оперативное планирование и контроль

Организация должна определять, планировать и контролировать те процессы, которые необходимы для рассмотрения рисков и возможностей, определяемых в 6.1, и удовлетворения требований, установленных в 6.1, путем:

• установления критериев для этих процессов;
• осуществления управления этими процессами в соответствии с заданными критериями;
• сохранения документально оформленной информации для подтверждения того, что процессы реализуются, как запланировано.

Организация должна контролировать запланированные изменения и анализировать последствия непредусмотренных изменений, принимая меры по снижению любых отрицательных эффектов по мере необходимости.

Организация должна управлять процессами, которые отданы на субподряд или выполняются сторонними организациями.

8.2 Проектирование процессов менеджмента записями

Для создания СМЗ организация должна спроектировать процессы менеджмента записями в соответствии со следующим планом.

a) Проведение анализа рабочих процессов с целью определения требований к формированию и управлению записями в отношении непрерывных процессов и удовлетворения интересов участвующих сторон, включая отчетность (см. ИСО/ТО 26122).

b) Оценивание рисков, которые могут возникнуть в связи с невозможностью контролировать подлинные, достоверные и пригодные для использования записи о бизнес-процессах организации:

1. для оценки уровней рисков;

2. определения приемлемости рисков на основе установленных критериев или необходимости управления рисками;

3. выявления и оценивания возможностей управления рисками.

c) Определение процессов (см. Приложение A, касающееся процессов управления записями, которые должна использовать организация), способствующих формированию и управлению записями, и порядка их реализации в системах, а также выбор технических средств, подлежащих использованию.

1. Формирование:

i) установление того, какие записи, когда и как должны быть сформированы и обобщены для каждого бизнес-процесса;

ii) определение контентной, контекстной и управляющей информации (метаданных), которая должна быть включена в записи;

iii) принятие решения о том, в какой форме и структуре должны формироваться и накапливаться записи;

iv) определение подходящих методов формирования и накапливания записей.

2. Управление:

i) определение того, какая управляющая информация (метаданные) должна формироваться на основании процессов управления записями и как она будет связана с записями и контролироваться с течением времени;

ii) установление правил и условий использования записей с течением времени;

iii) обеспечение пригодности использования записей с течением времени;

iv) установление порядка санкционированного изъятия записей из обращения;

v) установление условий, которые должны применяться для ведения и поддержания в рабочем состоянии систем менеджмента записями.

Для достижения этих целей должны применяться процессы и средства управления, приведенные в Приложении A, с учетом ресурсов организации, бизнес-среды и выявленных рисков, а также нормативной и социальной среды.

8.3 Внедрение систем записей

Организация должна осуществлять следующие действия:

a) внедрять процессы записей в системах записей для достижения установленных целей;

b) проводить регулярный мониторинг за результативностью функционирования систем записей на основании бизнес-требований и целей ведения записей;

c) регулировать функционирование систем записей.

Примечание. В условиях электронного обмена данными (например, при администрировании, в государственном и корпоративном управлении, торговле) процессы управления записями будут в большей степени автоматизироваться и обеспечиваться автоматизированными системами ведения записей. Существуют процессуальные нормы определения функциональных требований. Автоматизированные системы ведения записей должны соответствовать функциональным требованиям, совместимым с требованиями настоящего стандарта.

9. Оценка результативности деятельности

9.1 Мониторинг, измерение, анализ и оценивание

9.1.1 Организация должна определять:

• что подлежит измерению и мониторингу;
• методы проведения мониторинга, измерения, анализа и оценивания, исходя из реальной ситуации, для получения обоснованных результатов;
• когда должны проводиться мониторинг и измерение;
• когда должен проводиться анализ результатов мониторинга и измерения.

9.1.2. Организация должна оценивать результативность процессов и систем записей и результативность СМЗ.

Помимо этого организация должна:

a) в случае необходимости принимать меры в отношении негативных тенденций или результатов до возникновения несоответствия;

b) сохранять соответствующую документально оформленную информацию как свидетельство полученных результатов.

9.1.3. Для оценки результативности СМЗ организация должна проводить мониторинг и, в зависимости от обстоятельств, измерение следующих составляющих по мере необходимости:

a) политики ведения записей, чтобы убедиться в том, что она отражает текущие деловые потребности и актуализируется в случае любых значимых перемен в организации;

b) целей ведения записей, чтобы убедиться в том, что они согласуются с политикой ведения записей, являются достижимыми, действующими и способствуют постоянному совершенствованию;

c) изменений в бизнес-требованиях, законодательных и прочих требованиях, влияющих на СМЗ;

d) наличия и достаточности ресурсов, включая финансовые, человеческие, инфраструктурные, научно-технические и др.;

e) адекватности назначений и распределения функций, обязанностей и полномочий;

f) результативности деятельности лиц, несущих ответственность за внедрение СМЗ, представление отчетов по СМЗ и расширение информированности о СМЗ;

g) результативности выполнения процессов и функционирования систем согласно поставленным целям;

h) достаточности документации и должной реализации процедур управления записями;

i) результативности систем записей для достижения стратегических, управленческих и финансовых целей организации с использованием мер, определяемых при внедрении систем записей;

j) результативности программ подготовки и расширения информированности о СМЗ и стратегии обмена информацией;

k) удовлетворенности пользователей и основных партнеров.

В Приложении C приведены примеры оценки и измерения показателей в виде перечня контрольных вопросов для проведения самооценки.

Критерии мониторинга и измерения должны формироваться согласно изменениям в социальном, экономическом, стратегическом или правовом контексте организации.

9.2 Внутренние проверки системы

Организация должна проводить внутренние проверки через запланированные промежутки времени для получения информации, помогающей определить, насколько СМЗ:

a) отвечает:

1. собственным требованиям организации к СМЗ,

2. требованиям настоящего стандарта;

b) результативно используется и поддерживается в работоспособном состоянии.

Организация должна:

• планировать, реализовывать и поддерживать в рабочем состоянии программы проведения проверок с учетом их периодичности, методов проведения, обязанностей, требований к планированию и отчетности, а также принимать во внимание важность используемых процессов и результатов предыдущих проверок;
• устанавливать критерии проведения проверок и область каждой проверки;
• выбирать аудиторов и проводить проверки для обеспечения объективности и беспристрастности процесса аудита;
• обеспечивать доведение результатов проверок до соответствующих руководителей;
• сохранять документально оформленную информацию как свидетельство полученных результатов.

9.3 Анализ со стороны руководства

Высшее руководство должно проверять функционирование СМЗ организации через запланированные промежутки времени для обеспечения ее постоянной пригодности, адекватности и результативности.

Анализ со стороны руководства должен касаться:

a) реализации мер, принятых по результатам предыдущих анализов со стороны руководства;

b) изменений во внешних и внутренних аспектах, относящихся к СМЗ;

c) информации о результативности функционирования процессов и систем записей, включая тенденции в:

1. несоответствиях и корректирующих действиях;

2. результатах оценивания мониторинга и измерения;

3. результатах проверок;

d) возможностей для постоянного совершенствования.

В результате анализа со стороны руководства должны приниматься решения, касающиеся возможностей для постоянного совершенствования и возможной необходимости внесения изменений в СМЗ.

Организация должна сохранять документально оформленную информацию как свидетельство результатов анализов со стороны руководства.

10. Улучшение

10.1 Управление несоответствиями и корректирующие действия

Организация должна:

• выявлять несоответствия;
• реагировать на несоответствия и, в случае необходимости:
• принимать меры по управлению несоответствиями, их сдерживанию и исправлению;
• устранять последствия.

Организация также должна оценивать необходимость в принятии мер по устранению причин несоответствий, включая:

a) анализ несоответствий;

b) определение причин несоответствий;

c) выявление наличия потенциальных аналогичных несоответствий где-либо еще в СМЗ;

d) оценивание потребности в принятии мер по предотвращению повторного возникновения несоответствий или их возникновения где-либо еще;

e) определение и реализация требуемых мер;

f) проверка результативности принятых корректирующих мер;

g) внесение изменений в СМЗ в случае необходимости.

Корректирующие действия должны соответствовать последствиям возникающих несоответствий.

Организация должна сохранять документированную информацию как свидетельство:

1. характера несоответствий и любых принимаемых последующих мер;

2. результатов корректирующих действий.

10.2 Постоянное улучшение

Организация должна постоянно улучшать результативность СМЗ путем использования политики ведения записей, целей, результатов проверок, анализа данных, корректирующих и предупреждающих действий и оценивания, проводимого руководством.

Очередность мер по улучшению должна устанавливаться согласно результатам оценки рисков (см. 6.1).

Настоящее Приложение дает представление о процессах и средствах управления записями, которые должны быть реализованы. Реализация может осуществляться дифференцированно в соответствии с характеристиками организации. Решение о неприменении какого-либо процесса должно быть обосновано (например, организация может решить не применять процесс A.2.4.3 «Передача», приведенный в таблице A.1, поскольку не планируется передача ее записей другой организации).

Процессы и средства управления записями были сгруппированы и пронумерованы в таблице A.1 согласно целям, приведенным в 8.2, перечисление c) 1) «Формирование» и 8.2, перечисление c) 2) «Управление». По каждому процессу управления записями предлагается одно или несколько средств управления.

В Приложении B рассматривается взаимосвязь между настоящим стандартом и ИСО 9001, ИСО 14001 и ИСО/МЭК 27001 и сопоставляются общие разделы, касающиеся управления документами и записями в этих международных стандартах со средствами управления записями, приведенными в таблице A.1.

В стандартах на системы менеджмента, таких, как ИСО 9001, ИСО 14001 или ИСО/МЭК 27001, имеется раздел по документации, состоящий из подразделов, касающихся общего порядка управления документацией и записями, а именно:

a) Общая часть оговаривает перечень документов, включая записи, которые должны быть включены в систему менеджмента.

b) Подраздел по управлению документацией устанавливает требования к подготовке документов, их анализу, утверждению, управлению статусом пересмотра, распространению и наличию, обозначению и предотвращению неправильного использования.

c) Подраздел по управлению записями устанавливает процедуры для подготовки записей, их идентификации, архивации, защиты, поиска, сроков хранения и изъятия из обращения.

Хотя записи представляют собой особый вид документов, определяемый в стандартах системы менеджмента, документы, идентифицируемые или рассматриваемые как записи в каждой системе менеджмента, должны быть управляемыми для удовлетворения требований как к управлению документацией, так и к управлению записями на протяжении всего цикла от подготовки, распространения, использования до изъятия из обращения.

Требования, установленные для управления записями в каждом стандарте на системы менеджмента, являются недостаточными сами по себе для применения и управления записями и документами. Настоящий стандарт дает рекомендации относительно того, как должным образом управлять записями и документами, требуемыми в других системах менеджмента.

Для правильного формирования и управления записями настоящий стандарт определяет процессы управления записями и их назначение, как они должны осуществляться в рамках систем и как выбирать используемые технические средства.

В таблице B.1 показана взаимосвязь между процессами СМЗ и средствами управления, содержащимися в Приложении A настоящего стандарта и разделах других стандартов на системы менеджмента, касающихся документации.

4.2 Требования к документации

4.2.1 Общие положения

Документация системы менеджмента качества должна включать в себя:

a) документально оформленные заявления о политике и целях в области качества;

b) руководство по качеству;

c) документированные процедуры и записи, требуемые настоящим стандартом;

d) документы, включая записи, определенные организацией как необходимые ей для обеспечения эффективного планирования, осуществления процессов и управления ими

4.4.4 Документация

Документация системы экологического менеджмента должна содержать:

a) экологическую политику, цели и задачи;

b) описание области применения системы экологического менеджмента;

c) описание основных элементов системы экологического менеджмента, менеджмента и их взаимодействия, а также ссылки на соответствующие документы;

d) документы, включая записи, требуемые настоящим международным стандартом;

e) документы, включая записи, определенные организацией как необходимые для обеспечения результативного планирования, функционирования и управления процессами, которые связаны со значимыми экологическими аспектами

4.3 Требования к документации

4.3.1 Общие положения

Документация системы менеджмента информационной безопасности (СМИБ) должна включать:

a) документированные заявления о политике (см. 4.2.1b)) и целях СМИБ;

b) область применения СМИБ (см. 2.1a));

c) процедуры и средства управления в поддержку СМИБ;

d) описание методологии оценки рисков (см. 4.2.1c));

e) отчет об оценке рисков (см. 4.2.1c) — 4.2.1g));

f) план обработки рисков (см. 4.2.2b));

g) документированные процедуры, необходимые организации для того, чтобы гарантировать результативное планирование, работу и управление ее процессами защиты информации, а также для того, чтобы описать, как измерять результативность средств управления (см. 4.2.3c));

h) записи, требуемые настоящим международным стандартом (см. 4.3.3);

i) заявление о применимости

Документация должна содержать записи об управленческих решениях, обеспечивать прослеживаемость действия до управленческих решений и принципов деятельности и обеспечивать воспроизводимость зарегистрированных результатов.

Важно иметь возможность продемонстрировать зависимость результатов оценки рисков и процесса обработки рисков от выбранных средств управления и, соответственно, политики и целей СМИБ

Документация должна содержать записи об управленческих решениях, обеспечивать прослеживаемость действия до управленческих решений и принципов деятельности и обеспечивать воспроизводимость зарегистрированных результатов.

Важно иметь возможность продемонстрировать зависимость результатов оценки рисков и процесса обработки рисков от выбранных средств управления и, соответственно, политики и целей СМИБ

*

4.2.3 Управление документацией

Документы системы менеджмента качества должны быть управляемыми. Записи, представляющие собой специальный вид документов, должны быть управляемыми согласно требованиям 4.2.4.

Должна быть разработана документированная процедура для определения средств управления, требуемых для официального одобрения документации с точки зрения ее адекватности до выпуска (4.2.3a))

4.4.5 Управление документацией

Документами, требуемыми системой экологического менеджмента и настоящим международным стандартом, необходимо управлять. Записи являются документами особого вида, и ими необходимо управлять в соответствии с требованиями 4.5.4.

Организация должна установить, внедрить и поддерживать процедуру(ы) для одобрения документов перед выпуском на предмет их адекватности (4.4.5a))

4.3.2 Управление документацией

Документы, требуемые СМИБ, должны быть защищенными и управляемыми.

Должна быть разработана документированная процедура для определения действий руководства, необходимых для одобрения документов перед выпуском на предмет их адекватности (4.3.2a))

Для анализа и актуализации по мере необходимости и повторного официального одобрения документов (4.2.3b)).

Для обеспечения идентификации изменений и статуса пересмотра документов (4.2.3c))

Для анализа, актуализации документов по мере необходимости и их повторного утверждения (4.4.5b)).

Для обеспечения идентификации изменений и текущего статуса пересмотра документов (4.4.5c))

Для анализа и актуализации документов по мере необходимости и их повторного утверждения (4.3.2b)).

Для обеспечения идентификации изменений и текущего статуса пересмотра документов (4.3.2c))

Для обеспечения наличия

соответствующих версий документов в местах их применения (4.2.3d))

Для обеспечения наличия

соответствующих версий документов в местах их применения (4.4.5d))

Для обеспечения наличия

соответствующих версий документов в местах их применения (4.3.2d))

Для обеспечения сохранения документов четкими и легко идентифицируемыми (4.2.3e))

Для обеспечения удобочитаемости и идентифицируемости документов (4.4.5e))

Для обеспечения удобочитаемости и идентифицируемости документов (4.3.2e))

Для обеспечения идентификации и управления рассылкой документов внешнего происхождения, определенных организацией как необходимые для планирования и функционирования системы менеджмента качества (4.2.3f))

Для обеспечения идентификации и контроля распространения документов внешнего происхождения, определяемых организацией как необходимые для планирования и функционирования системы экологического менеджмента (4.4.5f))

Для обеспечения идентификации документов внешнего происхождения (4.3.2g)).

Для обеспечения контроля распространения документов (4.3.2h))

Для предотвращения непреднамеренного использования устаревших документов и применения соответствующей идентификации таких документов, оставленных для каких-либо целей (4.2.3g))

Для предотвращения непреднамеренного использования устаревших документов и для обозначения таких документов соответствующим образом, если они сохранены для каких-либо целей (4.4.5g))

Для предотвращения непреднамеренного использования устаревших документов (4.3.2i)).

Для обозначения таких документов соответствующим образом, если они сохранены для каких-либо целей (4.3.2j)).

Для обеспечения доступа к документам лиц, которые в них нуждаются, а также передачи, хранения и уничтожения их в соответствии с процедурами, применимыми к степени их конфиденциальности (4.3.2f))

4.2.4 Управление записями

Для предоставления свидетельств соответствия требованиям и результативного функционирования системы менеджмента качества необходимо формировать и вести записи (4.2.4)

4.5.4 Управление записями

Организация должна создавать и вести записи, необходимые для демонстрации соответствия требованиям своей системы экологического менеджмента и настоящего международного стандарта, а также записи о достигнутых результатах (4.5.4)

4.3.3 Управление записями

Для получения свидетельств соответствия требованиям и результативности функционирования СМИБ необходимо формировать и вести записи.

Необходимо обеспечивать защиту и управление записями (4.3.3)

Записи должны оставаться четкими, легко идентифицируемыми и восстанавливаемыми (4.2.4)

Записи должны быть удобочитаемыми, идентифицируемыми и прослеживаемыми (4.5.4)

Записи должны оставаться четкими, легко идентифицируемыми и восстанавливаемыми (4.3.3)

Должна быть разработана документированная процедура для определения средств управления, необходимых для идентификации, хранения, защиты, восстановления, сохранения и изъятия записей (4.2.4)

Организация должна разработать, внедрить и поддерживать в рабочем состоянии процедуру (или процедуры) для идентификации, хранения, защиты, восстановления, сохранения и изъятия записей (4.5.4)

Должны быть документированы и внедрены средства управления, требуемые для идентификации, хранения, защиты, восстановления, определения сроков хранения и изъятия записей (4.3.3)

СМИБ должна принимать во внимание все соответствующие нормативно-правовые требования и договорные обязательства (4.3.3)

*

Приложение C (справочное)

(справочное)

СТАНДАРТОВ ССЫЛОЧНЫМ НАЦИОНАЛЬНЫМ СТАНДАРТАМ РОССИЙСКОЙ ФЕДЕРАЦИИ (И ДЕЙСТВУЮЩИМ В ЭТОМ КАЧЕСТВЕ МЕЖГОСУДАРСТВЕННЫМ СТАНДАРТАМ)

Таблица ДА

БИБЛИОГРАФИЯ