Коротко о главном. СОО-Сибирь помогает организовать процедуру без лишних этапов: от проверки исходных материалов до готового комплекта документов для работы бизнеса.
Сертификация в сфере безопасности цепей поставок нужна компаниям, которые хотят системно управлять рисками при закупке, перевозке, хранении и передаче продукции между участниками логистической цепочки. На практике речь идет не только о защите груза от хищения или повреждения: оцениваются маршруты, складские площадки, подрядчики, контроль доступа, обмен информацией, действия персонала и порядок реагирования на инциденты. Именно поэтому получить ISO 28001 стремятся производители, импортеры, логистические операторы, экспедиторы, складские компании и другие организации, для которых сбой одного участка цепи может привести к остановке поставок или финансовым потерям.
- определяются границы защищаемой части цепи поставок;
- выявляются угрозы и уязвимые участки;
- оценивается уровень риска;
- разрабатываются меры защиты;
- назначаются ответственные лица;
- формируется план безопасности;
- проводится аудит и проверяется выполнение установленных мер.
При этом название услуги «Сертификат ISO 28001 (ГОСТ Р 53662)» требует важного уточнения. ГОСТ Р 53662-2009 больше не является актуальной национальной редакцией: Росстандарт указывает, что его заменил ГОСТ Р ИСО 28001-2019, введенный в действие с 1 июля 2020 года. Сам международный ISO 28001:2007 остается действующим: ISO подтверждает, что редакция была пересмотрена и подтверждена в 2021 году. Поэтому сегодня корректнее ориентироваться на ISO 28001:2007 и ГОСТ Р ИСО 28001-2019, а старое обозначение ГОСТ Р 53662 использовать только как исторический или поисковый ориентир.
Какой стандарт нужен для сертификации
Первый шаг — определить, какую именно задачу необходимо решить: подтвердить практики безопасности конкретной международной цепи поставок или сертифицировать систему менеджмента безопасности организации в более широком смысле. ISO 28001:2007 устанавливает требования и рекомендации по внедрению процессов безопасности в международной цепи поставок, проведению оценки безопасности и разработке плана защиты. ISO 28000:2022, напротив, является полноценным стандартом требований к системе менеджмента безопасности и применяется к организациям любого типа и размера. Эти документы близки тематически, но не взаимозаменяемы.
| Стандарт | Назначение | Когда применяют |
|---|---|---|
| ISO 28001:2007 | Практики безопасности международной цепи поставок, оценка и планы безопасности | Когда нужно подтвердить защищенность конкретной цепи или ее сегмента |
| ГОСТ Р ИСО 28001-2019 | Российская национальная версия ISO 28001 | Для российских проектов, договоров и процедур, где указан национальный стандарт |
| ISO 28000:2022 | Требования к системе менеджмента безопасности | Когда требуется сертификация общей системы управления безопасностью организации |
| ГОСТ Р 53662-2009 | Предыдущая национальная версия | Новый проект по ней начинать не следует, поскольку стандарт заменен |
Типичная ошибка клиента — искать «лицензию ISO 28001» или пытаться заказать сертификацию ISO 28001 без проверки требований контрагента. ISO 28001 не является лицензией на деятельность. Это стандарт, по которому оценивают соответствие процессов безопасности. Если заказчик требует ISO 28000, сертификат по ISO 28001 может не решить задачу; если в договоре прямо указан ГОСТ Р ИСО 28001-2019, международное обозначение без уточнения также лучше заранее согласовать.
- изучается формулировка договора или тендера;
- проверяется актуальное обозначение стандарта;
- определяется объект оценки — вся система или конкретная цепь;
- сверяется требование к органу по сертификации;
- определяется необходимость аккредитованной оценки;
- уточняется, какой документ ожидает заказчик.
Важно: ГОСТ Р 53662-2009 указан во многих старых коммерческих предложениях и поисковых запросах, но Росстандарт прямо указывает его как замененный ГОСТ Р ИСО 28001-2019. Если оформить документы со ссылкой только на устаревшее обозначение, контрагент может запросить пояснения или не принять сертификат. Перед началом проекта всегда проверяйте точную редакцию стандарта в требованиях заказчика.
ISO 28001 и ГОСТ Р
ISO 28001:2007 ориентирован на организации, участвующие в международных цепях поставок. Стандарт помогает определить часть цепи, в которой организация устанавливает меры безопасности, провести оценку этой части, разработать адекватные контрмеры и оформить план безопасности. ISO отдельно указывает, что стандарт содержит документальные требования, позволяющие проводить проверку, а также может помогать организациям в вопросах соответствия критериям уполномоченного экономического оператора в рамках международных программ безопасности торговли.
ГОСТ Р ИСО 28001-2019 воспроизводит тот же подход на национальном уровне. В его области применения прямо указаны разработка и внедрение процессов безопасности, установление минимального уровня защиты, документирование и содействие соответствию критериям УЭО. На практике это важно для компаний, у которых цепочка состоит из нескольких участников: производителя, перевозчика, терминала, склада, таможенного представителя и конечного получателя.
Когда применяют ISO 28000
ISO 28000:2022 нужен, когда компания хочет построить и подтвердить целостную систему менеджмента безопасности, а не только применить рекомендации и требования к отдельной цепи поставок. Стандарт распространяется на организации любых типов и размеров и охватывает общую систему управления безопасностью, включая аспекты, связанные с цепочкой поставок. Поэтому при выборе между ISO 28000 и ISO 28001 сначала определяют объект будущего аудита.
Например, логистический оператор хочет подтвердить общую корпоративную систему безопасности всех объектов, складов и процессов. В такой ситуации ISO 28000 может быть логичнее. Если же компания работает над защищенностью конкретной международной цепи «завод — порт — перевозчик — распределительный центр», ISO 28001 позволяет детально структурировать именно эту задачу.
Требования к безопасности цепи поставок
Внедрение ISO 28001 начинается с определения того, какую часть цепи поставок организация реально контролирует или на какую может влиять. Нельзя формально объявить защищенной всю международную цепь, если компания отвечает только за склад и участок автомобильной перевозки. После установления границ выполняется оценка безопасности: анализируются угрозы, уязвимости, возможные последствия инцидентов и уже действующие меры защиты. На основе результатов формируется система контрмер и документированный план безопасности. ISO указывает, что организация должна определить защищаемую часть цепи, провести ее оценку, разработать адекватные контрмеры и внедрить план безопасности.
- границы цепи и участки ответственности;
- физическая безопасность объектов;
- контроль доступа персонала и посетителей;
- защита грузов и транспортных средств;
- надежность подрядчиков и поставщиков;
- защита информации и сопроводительных данных;
- порядок реагирования на инциденты;
- обучение сотрудников безопасности.
На практике слабое место часто находится не внутри самой компании, а у подрядчика. Например, производитель тщательно контролирует собственный склад, но передает груз перевозчику, который не проверяет водителей, не фиксирует смену маршрута и не контролирует остановки. В документации цепь выглядит защищенной, однако фактически наиболее высокий риск находится на транспортном участке. Поэтому анализ должен охватывать не только внутренние процессы, но и точки передачи ответственности.
Нюансы: безопасность цепи поставок нельзя оценивать только по физической охране склада. Нарушение может возникнуть из-за некорректных данных в документах, несанкционированного доступа к информационной системе, подмены перевозчика или передачи груза неидентифицированному лицу. Поэтому качественная подготовка ISO 28001 всегда соединяет физические, организационные и информационные меры защиты.
Оценка рисков и уязвимостей
Оценка рисков начинается с описания маршрута движения продукции и всех критических точек. Для каждой точки определяются возможные угрозы: хищение, подмена, повреждение, несанкционированный доступ, саботаж, утечка информации, нарушение маршрута или действия недобросовестного подрядчика. Затем организация оценивает вероятность и последствия события и определяет, достаточно ли действующих мер управления.
| Участок цепи | Пример угрозы | Возможная мера |
|---|---|---|
| Склад готовой продукции | Несанкционированный доступ | Зонирование, идентификация персонала, журнал доступа |
| Автомобильная перевозка | Отклонение от маршрута | GPS-контроль и правила согласования изменений |
| Передача груза | Выдача неуполномоченному лицу | Проверка полномочий и идентификация получателя |
| Информационная система | Изменение данных о поставке | Разграничение доступа и журналирование действий |
| Подрядчик | Недостаточный уровень безопасности | Предварительная оценка и периодический контроль |
Ошибка — составить реестр угроз один раз и не пересматривать его после изменений. Новый склад, маршрут через другой терминал, смена перевозчика или переход на новую информационную систему могут радикально изменить профиль рисков. Поэтому управление рисками в цепи поставок должно быть динамическим процессом, а не приложением к сертификату.
Документы для оценки соответствия
Документы для ISO 28001 должны позволять восстановить логику управления безопасностью: что именно защищает организация, какие угрозы выявлены, почему выбраны конкретные меры и кто отвечает за их выполнение. Количество документов зависит от сложности цепи и числа участников. Для простой поставки внутри одного логистического коридора комплект будет компактнее, чем для международной сети с несколькими складами, перевозчиками и таможенными точками.
- описание границ цепи поставок;
- карта или схема движения продукции;
- результаты оценки безопасности;
- реестр угроз и рисков;
- план безопасности;
- процедуры контроля доступа;
- правила работы с подрядчиками;
- порядок реагирования на инциденты;
- записи обучения сотрудников;
- материалы внутреннего контроля и мониторинга.
Документальное подтверждение соответствия имеет смысл только тогда, когда процедуры реально выполняются. Если в плане написано, что каждый перевозчик проходит проверку до допуска к перевозке, у компании должны быть записи такой проверки. Если установлено требование контролировать маршрут, должны существовать фактические данные мониторинга. Именно такие связки «требование — действие — запись» чаще всего проверяются во время аудита ISO 28001.
План безопасности цепи поставок
План безопасности объединяет результаты оценки и конкретные меры управления. В нем фиксируют защищаемый сегмент цепи, основные угрозы, ответственных, контрмеры, способы контроля и порядок действий при инцидентах. ISO 28001 прямо предусматривает разработку и внедрение плана безопасности цепи поставок, а также обучение персонала его функциям в области безопасности.
- Определяются границы защищаемой цепи.
- Фиксируются значимые угрозы и уязвимости.
- Назначаются меры управления.
- Закрепляются ответственные сотрудники.
- Устанавливаются контрольные показатели.
- Описывается реагирование на инциденты.
- Определяется порядок пересмотра плана.
Например, компания установила обязательный контроль пломб на каждом этапе транспортировки. Если в плане безопасности просто написано «контролировать целостность пломб», этого недостаточно для устойчивого процесса. Нужно определить, кто проверяет номер, где фиксируется результат, что делать при расхождении и кто принимает решение о дальнейшей перевозке. Именно такая детализация превращает формальное правило в управляемый процесс.
Подготовка компании к аудиту
Подготовка к внешней проверке начинается с диагностики всей цепочки, которая попадает в область оценки. Практически это означает не только просмотр процедур, но и проверку того, как они выполняются на складе, при передаче груза перевозчику, при доступе сотрудников к информационным системам и при возникновении отклонений от маршрута. Специалист сопоставляет требования стандарта с реальными процессами, выявляет разрывы и определяет, какие несоответствия нужно закрыть до сертификационного аудита.
- Уточняется область оценки и перечень задействованных площадок.
- Проверяется карта цепи поставок и распределение ответственности.
- Анализируется реестр рисков и актуальность угроз.
- Оцениваются поставщики, перевозчики и другие подрядчики.
- Проверяется выполнение процедур доступа и мониторинга.
- Проводится внутренний аудит.
- Устраняются выявленные несоответствия.
Частая ошибка клиента — готовить к аудиту только центральный офис и собственный склад, хотя существенная часть рисков находится у внешних исполнителей. Например, компания прописала проверку перевозчиков, но фактически выбирает их только по цене и наличию транспорта. В такой ситуации документация существует, а доказательств контроля подрядчиков нет. На аудите это становится заметно сразу, потому что специалист прослеживает конкретную поставку и запрашивает подтверждающие записи.
Пример: у дистрибьютора был подробный план безопасности склада, но при внутренней проверке выяснилось, что доступ временных водителей на погрузочную площадку контролировался устно. Компания ввела предварительную регистрацию, идентификацию посетителей и журнал допуска. В результате риск несанкционированного доступа был не просто описан, а фактически закрыт управляемой процедурой.
Что проверяют при аудите
Во время аудита оценивается последовательность всей системы: от заявленной политики безопасности до конкретных действий сотрудников. Аудитор может выбрать один риск из реестра и проверить, как он был выявлен, какие меры утверждены, кто отвечает за их выполнение и где находятся записи о контроле. Аналогично проверяется работа с инцидентами, подрядчиками и изменениями в цепи поставок.
| Объект проверки | Что ожидают увидеть |
|---|---|
| Границы цепи | Понятное описание участков и ответственности |
| Реестр рисков | Актуальные угрозы и обоснованные меры |
| Контроль доступа | Работающие процедуры и записи |
| Подрядчики | Критерии оценки и результаты контроля |
| Инциденты | Разбор причин и корректирующие действия |
| Мониторинг | Показатели и подтверждение результативности |
Риск возникает, когда организация пытается показать аудитору идеальную картину и скрывает реальные проблемы. Для системы менеджмента это хуже, чем наличие корректно оформленного несоответствия с планом устранения. Сертификационная проверка оценивает способность компании управлять рисками, а не отсутствие любых отклонений.
Этапы получения сертификата
Получение ISO 28001 строится поэтапно. Сначала определяется применимый стандарт и объект оценки, затем проводится диагностика, разрабатываются или корректируются процедуры безопасности, формируются записи и проводится внутренний аудит. После этого компания подает заявку в выбранный орган и проходит независимую оценку соответствия ISO 28001.
- Определение стандарта. Уточняется ISO 28001, ГОСТ Р ИСО 28001 или ISO 28000.
- Диагностика. Анализируются процессы и существующие меры защиты.
- Оценка рисков. Выявляются угрозы и уязвимости.
- Внедрение мер. Настраиваются процедуры и ответственность.
- Документирование. Формируется пакет документов и записей.
- Внутренний аудит. Проверяется фактическое выполнение требований.
- Заявка. Сертификационному органу передается информация о компании.
- Внешний аудит. Проводится независимая проверка.
- Корректирующие действия. Закрываются замечания при их наличии.
- Решение о сертификации. После положительной оценки выдается документ.
Если клиент хочет заказать сертификацию ISO 28001 срочно, скорость зависит прежде всего от готовности процессов. Если карты цепи, реестр рисков, план безопасности и записи уже существуют, подготовка проходит быстрее. Если же все создается с нуля, необходим период внедрения и накопления доказательств. Поэтому обещание «сертификат завтра» без оценки системы должно восприниматься критически.
Совет: до подписания контракта на сертификацию ISO 28001 запросите у органа точную область оценки и перечень входных данных. Это помогает заранее понять, какие площадки и подрядчики попадут в аудит, и избежать ситуации, когда в середине проекта неожиданно требуется расширять объем работ.
Надзор и поддержание системы
После получения сертификата система не должна оставаться неизменной. Цепи поставок постоянно меняются: появляются новые маршруты, терминалы, поставщики, информационные платформы и схемы хранения. Каждое такое изменение может создавать новые угрозы, поэтому риски и план безопасности нужно пересматривать регулярно.
- актуализировать реестр угроз;
- проверять новых подрядчиков;
- контролировать изменения маршрутов;
- проводить внутренние аудиты;
- анализировать инциденты;
- проверять результативность контрмер.
Типовой провал — поддерживать сертификат только формально. Например, у компании появился новый распределительный центр, но он не включен в карту цепи и не прошел оценку рисков. При следующем аудите такое изменение может стать существенным несоответствием, потому что фактическая система уже отличается от заявленной.
Интеграция с системами менеджмента
Процессы безопасности цепи поставок можно интегрировать с ISO 9001, ISO 28000 и другими системами менеджмента. Это особенно полезно крупным компаниям, где уже существуют единые процедуры управления документами, рисками, поставщиками, внутренними аудитами и корректирующими действиями. Вместо параллельных регламентов создается единая архитектура управления, в которой требования разных стандартов распределяются по общим процессам.
- единое управление документами;
- единая методика оценки рисков;
- общая программа внутренних аудитов;
- единая процедура работы с поставщиками;
- совместное управление несоответствиями;
- общий анализ результативности руководством.
Например, если компания уже работает по ISO 9001, процедура оценки поставщиков может быть расширена критериями безопасности логистических процессов. Нет необходимости создавать второй параллельный механизм только ради ISO 28001. Это снижает бюрократию и позволяет ответственным подразделениям работать в одной системе.
Ошибка — считать интеграцией простое объединение документов в одну папку. Если подразделения продолжают использовать разные критерии рисков, отдельные журналы и несвязанные корректирующие действия, управленческого эффекта не будет. Настоящая интеграция означает единые правила и точки ответственности.
Стоимость и сроки сертификации
Стоимость ISO 28001 сертификации зависит от сложности цепи поставок и объема аудита. Чем больше площадок, маршрутов, подрядчиков и участников процесса, тем больше информации необходимо проверить. Отдельно учитывается готовность документации: если требуется внедрение ISO 28001 с нуля, консультационная часть проекта будет заметно больше, чем при уже работающей системе.
| Фактор | Как влияет на проект |
|---|---|
| Количество площадок | Увеличивает объем проверки |
| Число участников цепи | Требует более широкой оценки взаимодействий |
| Сложность маршрутов | Увеличивает объем анализа рисков |
| Готовность документов | Определяет объем консультационной работы |
| Количество подрядчиков | Влияет на глубину проверки контрагентов |
| Срочность | Ограничивается фактической готовностью системы |
Запрос «сертификация ISO 28001 цена» нельзя корректно рассчитать только по названию компании. Логистический оператор с одной площадкой и стабильным маршрутом потребует одного объема аудита, а международная группа с несколькими складами и десятками подрядчиков — совершенно другого. Поэтому коммерческое предложение обычно формируется после короткой анкеты или предварительного анализа.
- диагностика системы;
- оценка рисков;
- разработка документов;
- обучение ответственных;
- внутренний аудит;
- внешняя сертификационная проверка;
- сопровождение закрытия замечаний.
Сроки сертификации ISO 28001 также зависят от зрелости системы. Если процессы уже документированы и работают, проект может идти значительно быстрее. Если нужно сначала выстроить контроль доступа, оценку подрядчиков и мониторинг маршрутов, потребуется дополнительное время на внедрение и проверку результативности.
Мнение эксперта: при выборе партнера по сертификации важно разделять консалтинг и независимую оценку. Консультант помогает внедрить систему, а сертификационный орган должен объективно проверить ее соответствие. Чем прозрачнее эти роли и договорные условия, тем выше доверие к итоговому документу.
Частые вопросы по ISO 28001
Действует ли ГОСТ Р 53662-2009?
Нет, он заменен ГОСТ Р ИСО 28001-2019. Старое обозначение встречается в поисковых запросах и архивных документах, но для новых проектов нужно ориентироваться на актуальную национальную версию.
Чем ISO 28001 отличается от ISO 28000?
ISO 28001 ориентирован на практики и планы безопасности конкретной международной цепи поставок, а ISO 28000 устанавливает требования к системе менеджмента безопасности организации в более широком смысле.
Сертификация обязательна?
Как правило, она добровольная. Практическая необходимость появляется, если документ требуется заказчиком, партнером, тендером или внутренним корпоративным стандартом.
Можно ли купить сертификат без аудита?
Корректная официальная сертификация ISO 28001 предполагает оценку соответствия. Документ без проверки не подтверждает фактическую работу системы и создает риск при проверке контрагентом.
Нужна ли отдельная лицензия ISO 28001?
Нет, термин «лицензия ISO 28001» некорректен. ISO 28001 — стандарт, по которому оценивается система или практика безопасности, а не разрешение на осуществление деятельности.
Можно ли использовать стандарт для УЭО?
ISO 28001 может использоваться как инструмент структурирования процессов безопасности и документирования практик, связанных с критериями уполномоченного экономического оператора, но сам сертификат не заменяет таможенный статус УЭО.
Как выбрать сертификационный орган?
Нужно проверять компетентность органа, область его деятельности, требования к аккредитации со стороны вашего заказчика и условия договора. Если документ нужен для тендера или международного партнера, эти параметры лучше согласовать до начала аудита.
Коротко о главном
ISO 28001 помогает структурировать безопасность цепи поставок: определить границы, выявить угрозы, выбрать меры защиты и закрепить их в плане безопасности. При этом важно использовать актуальные стандарты — ISO 28001:2007 и ГОСТ Р ИСО 28001-2019 — и не путать их с устаревшим ГОСТ Р 53662-2009.
- сначала определите цель сертификации;
- проверьте точное обозначение стандарта;
- опишите реальную цепь поставок;
- оцените риски и подрядчиков;
- подготовьте план безопасности;
- проведите внутренний аудит;
- поддерживайте систему после получения сертификата.
Главная ошибка — относиться к ISO 28001 как к формальному документу. Сертификат имеет ценность только тогда, когда подтверждает работающие процессы, которые можно показать аудитору и контрагенту на конкретных примерах.
Почему выбирают компанию СооСибирь
«СооСибирь» сопровождает проекты по безопасности цепей поставок от первичной диагностики до подготовки к внешнему аудиту. Работа начинается с анализа цели клиента и применимого стандарта, после чего специалисты помогают описать цепь, оценить риски, подготовить документы и проверить готовность системы.
- проверяем актуальность стандарта;
- анализируем цепочку поставок;
- помогаем сформировать реестр рисков;
- разрабатываем план безопасности;
- готовим документы для ISO 28001;
- проводим внутреннюю диагностику;
- сопровождаем устранение замечаний.
Такой подход особенно полезен компаниям со сложной логистикой, несколькими подрядчиками и международными маршрутами. Основная задача сопровождения — не просто подготовить комплект бумаг, а связать документы с реальными процессами, чтобы система выдерживала аудит и оставалась рабочей после получения сертификата.