Коротко о главном. СОО-Сибирь помогает организовать процедуру без лишних этапов: от проверки исходных материалов до готового комплекта документов для работы бизнеса.
Сертификация в области безопасности цепей поставок нужна компаниям, которые хотят не просто контролировать отдельный склад или транспортный участок, а системно управлять угрозами на всем контролируемом отрезке поставки. В реальной работе риски возникают при приемке товара, хранении, комплектовании, передаче перевозчику, перемещении между терминалами, доступе к информационным системам и взаимодействии с подрядчиками. Поэтому подготовка к ISO 28001 начинается с описания фактической цепочки: кто участвует в поставке, где меняется ответственность за груз, какие данные передаются между сторонами и на каких этапах возможны хищение, подмена, повреждение или несанкционированный доступ. Для производителя это может быть маршрут от склада готовой продукции до распределительного центра клиента, для логистического оператора — несколько транспортных плеч, терминалов и субподрядчиков.
- определяются границы цепи поставок и зоны ответственности;
- фиксируются участники, объекты, транспортные участки и информационные потоки;
- выявляются угрозы и уязвимые точки;
- оцениваются существующие меры защиты;
- назначаются ответственные за безопасность;
- формируется документированный план безопасности;
- проверяется выполнение установленных мер на практике.
При этом в названии услуги «Сертификат ISO 28001 (ГОСТ Р 53662)» есть нормативный нюанс, который важно учитывать еще до подачи заявки. Международный ISO 28001:2007 остается действующим: ISO указывает, что стандарт был пересмотрен и подтвержден в 2021 году, поэтому эта версия сохраняет актуальный статус. В России прежний ГОСТ Р 53662-2009 заменен ГОСТ Р ИСО 28001-2019, введенным в действие с 1 июля 2020 года. Это означает, что старое обозначение может использоваться в поисковых запросах или архивных документах, но при оформлении нового проекта следует ориентироваться на актуальную нормативную базу.
Какой стандарт нужен для сертификации
Выбор стандарта зависит от того, что именно заказчик хочет подтвердить. ISO 28001:2007 посвящен лучшим практикам реализации безопасности международной цепи поставок, оценке ее защищенности и разработке планов безопасности. ISO 28000:2022 имеет более широкий предмет: он устанавливает требования к системе менеджмента безопасности организации, включая аспекты, связанные с цепью поставок, и применим к организациям любых типов и размеров. Поэтому сертификат на управление безопасностью нельзя выбирать только по похожему номеру стандарта — сначала определяется цель проекта, область будущей оценки и формулировка требований контрагента или тендера.
| Документ | Что регулирует | Когда целесообразно применять |
|---|---|---|
| ISO 28001:2007 | Практики безопасности цепи поставок, оценки и планы безопасности | Когда требуется оценить конкретную международную цепь или ее контролируемый сегмент |
| ГОСТ Р ИСО 28001-2019 | Национальная версия требований и руководства ISO 28001 | Для российских договоров, закупок и проектов, где требуется ГОСТ |
| ISO 28000:2022 | Система менеджмента безопасности организации | Когда нужна более широкая сертификация общей системы управления безопасностью |
| ГОСТ Р 53662-2009 | Предыдущая российская версия | Используется только как историческое обозначение, поскольку заменен |
На практике одна из самых частых ошибок — заказать сертификацию ISO 28001, не проверив текст требований заказчика. Например, в закупочной документации может быть прямо указан ISO 28000:2022, тогда документ по ISO 28001 не является автоматической заменой. Обратная ситуация также возможна: партнер просит подтвердить безопасность конкретного логистического коридора и наличие плана защиты, а компания начинает строить полноценную систему ISO 28000, хотя коммерческая задача уже уже.
- изучите договор, тендер или требования корпоративного заказчика;
- уточните точное обозначение и редакцию стандарта;
- определите границы объекта оценки;
- проверьте требования к сертификационному органу;
- уточните необходимость аккредитации;
- согласуйте формулировку области будущего сертификата.
Важно: ГОСТ Р 53662-2009 официально заменен ГОСТ Р ИСО 28001-2019. Если в новом сертификате или коммерческом предложении без пояснений использовать только устаревшее обозначение, заказчик может потребовать подтверждение актуальности документа или отказаться считать его соответствующим своему требованию. Перед заключением договора на сертификацию лучше письменно согласовать стандарт и редакцию, которые должны быть указаны в итоговом документе.
ISO 28001 и ГОСТ Р
ISO 28001:2007 устанавливает требования и дает рекомендации организациям, участвующим в международных цепях поставок. В частности, стандарт ориентирован на разработку процессов безопасности, установление и документирование минимального уровня защищенности цепи или ее отдельного сегмента, а также на оценку применяемых мер. Отдельно ISO указывает возможность использования стандарта для содействия соответствию применимым критериям уполномоченного экономического оператора и национальным программам безопасности цепей поставок.
ГОСТ Р ИСО 28001-2019 переносит эту же концепцию в российскую систему стандартизации. Росстандарт прямо указывает в области применения разработку и внедрение процессов безопасности цепей поставок, документирование минимального уровня безопасности и содействие в оценке соответствия критериям УЭО. Поэтому внедрение ISO 28001 на практике обычно начинается не с написания большого комплекта процедур, а с описания реальной логистической цепи и определения того сегмента, за который организация действительно отвечает.
Когда применяют ISO 28000
ISO 28000:2022 выбирают, когда задача шире защиты конкретной цепочки и требуется система менеджмента безопасности организации в целом. Стандарт устанавливает требования к созданию, внедрению, поддержанию и улучшению такой системы и применим к коммерческим предприятиям, государственным структурам и некоммерческим организациям независимо от размера. В 2024 году к ISO 28000:2022 также была опубликована поправка по климатическим изменениям, которую необходимо учитывать при работе с актуальной версией стандарта.
Типовой пример: оператор нескольких складских терминалов хочет единообразно управлять физической безопасностью объектов, доступом, инцидентами, подрядчиками и общими корпоративными рисками — здесь ISO 28000 может быть более логичной основой. Если же предприятие хочет подтвердить защищенность конкретного международного маршрута от своего склада до площадки получателя, ISO 28001 позволяет точнее сфокусироваться на практиках цепи поставок.
Требования к безопасности цепи поставок
Основой проекта становится четкое определение защищаемой части цепи. Организация не должна включать в область оценки процессы, которыми фактически не управляет и на которые не может влиять. После установления границ проводится оценка безопасности: выявляются потенциальные сценарии нарушений, анализируются уязвимости и сопоставляются уже действующие меры с уровнем риска. ISO 28001 предполагает, что организация проводит оценку безопасности выбранного сегмента, разрабатывает адекватные контрмеры и внедряет план безопасности.
- физическая защита складов и терминалов;
- контроль доступа сотрудников и посетителей;
- идентификация перевозчиков и водителей;
- целостность груза и упаковки;
- управление пломбами и средствами идентификации;
- контроль отклонений от маршрута;
- защита сопроводительной и электронной информации;
- проверка подрядчиков и поставщиков услуг;
- реагирование на нарушения и инциденты.
Например, производственная компания обеспечивает строгий режим доступа на собственный склад, использует видеонаблюдение и контролирует отгрузку, но после передачи товара перевозчику перестает отслеживать дальнейшее движение. Если именно транспортный участок является наиболее уязвимым, формально сильная защита склада не решает проблему всей цепи. Поэтому управление рисками в цепи поставок должно учитывать точки передачи ответственности и взаимодействие с внешними организациями.
Еще один скрытый риск связан с информацией. Подмена банковских реквизитов, изменение адреса доставки, несанкционированная корректировка данных о получателе или утечка информации о маршруте может создать не меньшую угрозу, чем физическое проникновение на склад. Поэтому безопасность логистических процессов рассматривается шире охраны территории: анализируются документы, права доступа, электронный обмен и порядок подтверждения критичных изменений.
Нюансы: наличие охраны, камер и сигнализации не означает автоматического соответствия требованиям безопасности цепи поставок. Если организация не оценивает подрядчиков, не контролирует точки передачи груза и не устанавливает порядок действий при отклонении от маршрута, существенная часть рисков остается вне системы. На аудите проверяют именно связанность мер с выявленными угрозами, а не количество технических средств защиты.
Оценка рисков и уязвимостей
Оценка рисков начинается с построения фактической схемы движения груза и информации. Для каждого этапа определяются активы, потенциальные угрозы, слабые места и возможные последствия нарушения. После этого организация применяет выбранную методику ранжирования рисков и решает, какие угрозы приемлемы, а для каких требуются дополнительные меры. Здесь важно избегать шаблонного реестра: риски склада фармацевтической продукции, контейнерного терминала и интернет-магазина с курьерской доставкой будут существенно различаться.
| Участок | Риск | Практическая мера |
|---|---|---|
| Склад | Несанкционированный доступ | Зонирование, учет посетителей, разграничение прав |
| Транспорт | Отклонение от утвержденного маршрута | GPS-мониторинг и процедура согласования отклонений |
| Передача груза | Выдача постороннему лицу | Проверка полномочий и идентификация получателя |
| ИТ-система | Несанкционированное изменение заказа | Разграничение доступа и журналирование операций |
| Подрядчик | Недостаточные меры безопасности | Предварительная и периодическая оценка поставщика услуг |
Ошибка — выполнить анализ один раз перед сертификационным аудитом и не пересматривать его после изменений. Новый перевозчик, другой порт, дополнительный склад, изменение программного обеспечения или передача части операций субподрядчику способны полностью изменить профиль угроз. Рабочая система должна реагировать на такие изменения до того, как они приведут к инциденту.
Документы для оценки соответствия
Документы для ISO 28001 должны показывать логику управления безопасностью, а не просто создавать объемную папку для аудитора. Из них должно быть понятно, какие границы установила организация, какие угрозы она выявила, почему выбраны конкретные контрмеры, кто несет ответственность и как проверяется результативность. Чем сложнее цепочка и больше внешних участников, тем важнее обеспечить прослеживаемость решений и записей.
- описание области и границ цепи поставок;
- схема участников и маршрутов;
- результаты оценки безопасности;
- реестр рисков и уязвимостей;
- план безопасности цепи;
- процедуры контроля доступа;
- правила оценки подрядчиков;
- порядок реагирования на инциденты;
- записи обучения и инструктажей;
- результаты мониторинга и внутренних проверок.
На практике слабым местом часто становится несоответствие документации реальному процессу. Например, в процедуре записано, что каждого перевозчика проверяют до допуска, а отдел логистики при срочной поставке привлекает первого доступного подрядчика без оценки. Формально документ существует, но аудит ISO 28001 выявит отсутствие его фактического выполнения. Поэтому подготовка ISO 28001 должна включать тестирование процедур на реальных поставках.
План безопасности цепи поставок
План безопасности соединяет результаты оценки рисков с конкретными действиями. В нем фиксируются защищаемые участки, угрозы, выбранные контрмеры, ответственные лица, методы мониторинга и порядок реагирования на нарушения. Стандарт прямо связывает оценку цепи с разработкой и внедрением плана безопасности, то есть документ должен быть следствием анализа, а не универсальным шаблоном.
- Фиксируются границы защищаемого сегмента.
- Выбираются значимые угрозы и уязвимости.
- Для каждой угрозы устанавливаются контрмеры.
- Назначаются ответственные сотрудники.
- Определяются контрольные записи и показатели.
- Устанавливается порядок реагирования на инциденты.
- Фиксируются условия пересмотра документа.
Например, компания использует пломбы на грузовых автомобилях. Формулировки «контролировать пломбу» недостаточно. Нужно определить, кто устанавливает пломбу, где фиксируется номер, кто сверяет его при приемке, что происходит при повреждении и кто уполномочен принять решение о дальнейших действиях. Именно такая детализация показывает, что документальное подтверждение соответствия основано на работающем процессе.
Подготовка компании к аудиту
Подготовка к сертификационной проверке начинается с внутренней диагностики всей цепи поставок, которая заявлена в области оценки. На практике специалист проходит путь груза и сопутствующей информации поэтапно: от приемки и хранения до передачи перевозчику, транзитных точек, терминалов и конечного получателя. Одновременно проверяются подрядчики, контроль доступа, порядок идентификации участников, защита информационных потоков и действия сотрудников при отклонениях от штатного сценария. Цель подготовки — не «подогнать бумаги» к требованиям стандарта, а заранее найти разрывы между документами и реальной работой.
- уточняется область оценки и границы цепи;
- сверяются маршруты, площадки и участники;
- проверяется актуальность реестра рисков;
- оценивается работа с подрядчиками;
- проверяются записи по инцидентам и мониторингу;
- проводится внутренний аудит;
- устраняются выявленные несоответствия.
Например, компания может формально предусмотреть проверку транспортных подрядчиков, но в реальности логисты выбирают перевозчика по цене и доступности машины, не фиксируя результаты оценки безопасности. На внешнем аудите это быстро обнаруживается: аудитор берет конкретную поставку и запрашивает доказательства допуска перевозчика. Если их нет, процедура считается неработающей, даже если она подробно описана в документах.
Пример: у одного клиента маршрут международной поставки был хорошо описан, но промежуточный терминал фактически оставался «слепой зоной» — компания не проверяла, кто имел доступ к грузу после разгрузки. Перед аудитом мы включили терминал в карту цепи, добавили критерии оценки оператора и порядок подтверждения передачи ответственности. Это закрыло реальный риск, а не просто улучшило комплект документов.
Что проверяют при аудите
Аудитор оценивает взаимосвязь всей системы. Он может выбрать один риск и проследить, как он был выявлен, какая контрмера назначена, кто отвечает за ее выполнение и какие записи подтверждают результат. Отдельно проверяется, понимают ли сотрудники свои обязанности и знают ли, как действовать при инциденте или отклонении от маршрута.
| Объект проверки | Что обычно анализируют |
|---|---|
| Границы цепи | Соответствуют ли они реальным зонам ответственности |
| Риски | Актуальность угроз и логика их оценки |
| Подрядчики | Критерии допуска и результаты контроля |
| Доступ | Идентификацию персонала и посетителей |
| Инциденты | Разбор причин и корректирующие действия |
| Мониторинг | Доказательства результативности мер защиты |
Ошибка клиента — воспринимать аудит как проверку «идеальности». В системе менеджмента важнее способность выявлять проблемы и корректно ими управлять. Наличие зарегистрированного инцидента с проведенным анализом причин и устранением слабого места зачастую выглядит убедительнее, чем формальное утверждение, что «нарушений не было».
Этапы получения сертификата
Получение сертификата начинается с выбора применимого стандарта и определения области оценки. После этого проводится анализ текущей системы, внедряются недостающие меры безопасности, формируются документы и записи, проводится внутренний аудит и только затем подается заявка на внешнюю оценку. Если по итогам сертификационного аудита выявляются несоответствия, организация должна устранить их и подтвердить корректирующие действия до принятия положительного решения.
- Выбор стандарта. Уточняется ISO 28001, ГОСТ Р ИСО 28001 или ISO 28000.
- Диагностика. Анализируются реальные процессы безопасности.
- Оценка рисков. Выявляются угрозы и уязвимости.
- Внедрение. Настраиваются контрмеры и ответственность.
- Документирование. Формируется пакет процедур и записей.
- Внутренний аудит. Проверяется соответствие до внешней оценки.
- Подача заявки. Передаются сведения в сертификационный орган.
- Аудит. Проводится независимая оценка.
- Закрытие замечаний. Устраняются несоответствия.
- Выдача сертификата. Документ оформляется после положительного решения.
Сроки сертификации ISO 28001 напрямую зависят от зрелости процессов. Если компания уже управляет логистическими рисками, ведет записи и контролирует подрядчиков, подготовка проходит быстрее. Если же система создается с нуля, требуется время на внедрение и накопление доказательств работы, поэтому обещание выдать корректный сертификат «за день» без анализа должно вызывать вопросы.
Совет: до подписания договора запросите у сертификационного органа проект области сертификации и перечень входных данных. Это позволяет заранее понять, какие площадки, маршруты и участники попадут в проверку. Такой шаг часто помогает избежать увеличения бюджета и сроков уже после старта проекта.
Надзор и поддержание системы
Система безопасности цепи поставок требует постоянного обновления. Появление нового перевозчика, склада, программного обеспечения или маршрута меняет профиль рисков, поэтому реестр угроз и план безопасности необходимо пересматривать. Кроме того, сохраняются внутренние проверки и последующие надзорные аудиты в рамках выбранной схемы сертификации.
- обновляется карта цепи поставок;
- пересматриваются риски;
- проверяются новые подрядчики;
- анализируются инциденты;
- проводятся внутренние аудиты;
- оценивается результативность контрмер.
Типичный риск — продолжать использовать старый план безопасности после изменения логистики. Например, компания переехала на новый склад, но не пересмотрела контроль доступа и маршруты движения грузов. На следующем аудите это может показать, что документированная система больше не соответствует фактической.
Интеграция с системами менеджмента
ISO 28001 удобно объединять с ISO 9001, ISO 28000 и другими системами менеджмента, если в компании уже существуют общие процессы управления документами, рисками и поставщиками. Это позволяет не создавать параллельные процедуры, а встроить требования безопасности в действующую корпоративную систему. Например, существующая процедура оценки поставщиков по качеству может быть дополнена критериями логистической безопасности.
- единая методика оценки рисков;
- общий контроль документов;
- единая программа внутренних аудитов;
- совместная оценка поставщиков;
- единый процесс корректирующих действий;
- общий анализ результативности руководством.
Но интеграция должна быть реальной, а не декоративной. Если документы объединены в одну папку, а подразделения продолжают работать по разным правилам, никакой оптимизации бизнес-процессов не происходит. Правильная интегрированная система уменьшает дублирование и делает требования понятнее для сотрудников.
Стоимость и сроки сертификации
Стоимость сертификации ISO 28001 зависит от масштаба и сложности цепи поставок. На цену влияют количество площадок, число участников, количество маршрутов, объем подрядных операций, состояние документации и объем внешнего аудита. Отдельно рассчитываются консультационные работы, если требуется внедрение ISO 28001 с нуля.
| Фактор | Влияние на проект |
|---|---|
| Количество площадок | Увеличивает объем анализа и аудита |
| Число подрядчиков | Требует более широкой проверки взаимодействий |
| Сложность маршрутов | Увеличивает объем оценки рисков |
| Готовность документов | Влияет на объем консультационной подготовки |
| Состояние мониторинга | Определяет полноту доказательной базы |
| Срочность | Ограничивается реальной готовностью системы |
Поэтому запрос «сертификация ISO 28001 цена» корректно рассчитывается только после короткой диагностики. Международная логистическая группа с несколькими складами и подрядчиками объективно потребует большего объема работ, чем компания с одной площадкой и стабильным маршрутом. Фиксированная цена без анализа часто не учитывает реальную трудоемкость проекта.
- предварительная диагностика;
- оценка рисков;
- разработка документов;
- обучение ответственных;
- внутренний аудит;
- внешняя сертификационная проверка;
- сопровождение закрытия замечаний.
Сроки также связаны с тем, насколько быстро организация может предоставить данные и устранить разрывы. Если система уже действует, внешняя оценка может быть организована относительно быстро. Если нет даже карты цепи и реестра угроз, сначала придется пройти полноценный этап внедрения.
Мнение эксперта: надежный проект начинается не с вопроса «сколько стоит сертификат», а с определения объекта оценки. Две компании одинакового размера могут иметь совершенно разную сложность цепей поставок. Чем точнее описаны границы и участники до расчета, тем прозрачнее бюджет и ниже риск дополнительных расходов.
Частые вопросы по ISO 28001
Действует ли ГОСТ Р 53662-2009?
Нет, для новых проектов следует ориентироваться на ГОСТ Р ИСО 28001-2019, который заменил прежний стандарт. Старое обозначение может встречаться в архивных документах и поисковых запросах.
Чем ISO 28001 отличается от ISO 28000?
ISO 28001 ориентирован на практики безопасности конкретной международной цепи поставок и разработку плана безопасности. ISO 28000 устанавливает требования к более широкой системе менеджмента безопасности организации.
Обязательна ли сертификация?
В большинстве случаев она добровольная. Коммерческая необходимость возникает, если сертификат требует заказчик, тендер, партнер или корпоративный стандарт.
Можно ли купить сертификат ISO 28001 без аудита?
Корректная оценка соответствия предполагает фактическую проверку системы. Документ без независимого аудита не подтверждает работоспособность процессов и может не приниматься контрагентом.
Нужна ли лицензия ISO 28001?
Нет, ISO 28001 — это стандарт, а не разрешение на деятельность. Термин «лицензия ISO 28001» используется некорректно.
Подходит ли ISO 28001 для УЭО?
Стандарт может использоваться для структурирования и документирования практик безопасности, связанных с критериями уполномоченного экономического оператора. При этом сертификат сам по себе не заменяет получение статуса УЭО.
Как выбрать сертификационный орган?
Нужно проверять компетентность, область деятельности, аккредитационный статус при наличии такого требования и признание сертификата вашим заказчиком. Если документ нужен для тендера, эти параметры лучше сверить до начала проекта.
Коротко о главном
ISO 28001 помогает системно управлять безопасностью цепи поставок: определить границы, выявить угрозы, назначить контрмеры и закрепить их в плане безопасности. Для новых проектов следует ориентироваться на ISO 28001:2007 и ГОСТ Р ИСО 28001-2019, а ГОСТ Р 53662-2009 рассматривать только как устаревшее обозначение.
- сначала определите цель сертификации;
- проверьте точную редакцию стандарта;
- опишите реальную цепь поставок;
- оцените риски и подрядчиков;
- сформируйте план безопасности;
- проведите внутренний аудит;
- поддерживайте систему после получения сертификата.
Главный практический риск — формальное внедрение. Если документы не совпадают с реальной логистикой, это проявится на аудите и снизит ценность сертификата для контрагентов.
Почему выбирают компанию СооСибирь
Компания «СооСибирь» сопровождает проекты по ISO 28001 от первичной диагностики до подготовки к внешней оценке. Работа начинается с определения применимого стандарта и реальных границ цепи поставок, после чего специалисты помогают структурировать риски, подготовить документы и проверить выполнение процедур.
- проверяем актуальность стандарта;
- анализируем цепь поставок;
- помогаем сформировать реестр рисков;
- разрабатываем план безопасности;
- проверяем готовность документов;
- проводим внутреннюю диагностику;
- сопровождаем устранение замечаний.
Такой подход особенно важен компаниям со сложной логистикой, международными маршрутами и большим количеством подрядчиков. Цель сопровождения — не только подготовить пакет документов, но и связать его с реальными процессами, чтобы система оставалась рабочей после получения сертификата и выдерживала последующие проверки.