ГОСТ Р № 22301 от 01.01.2022

4.1 Понимание особенностей организации и условий ее работы
Организация должна определить внешние и внутренние проблемы, которые могут повлиять на ее возможности достижения поставленных целей и намеченных результатов системы менеджмента непрерывности деятельности (СМНД).
 
Примечание — Эти проблемы связаны с общими целями организации, ее продукцией и услугами, а также величиной и типом риска, который может или не может быть принят организацией. 

 4.2.1 Общие положения 
При создании СМНД организации необходимо определить; 

 4.2.2 Законодательные и обязательные требования 
Организация должна: 

 4.3.1 Общие положения 
Организация должна определить границы и применимость СМНД для установления ее области применения. 
При установлении области определения СМНД организация должна учитывать: 

Область применения СМНД организации должна быть документирована и доступна. 

 4.3.2 Область применения системы менеджмента непрерывности деятельности 
Организация должна: 

При определении области применения СМНД организация должна обосновать и документировать исключения. При этом исключения не должны влиять на возможности и ответственность организации обеспечивать непрерывность деятельности, это определяют путем анализа их воздействия на деятельность или оценки риска и применимых правовых или нормативных требований. 

 4.4 Система менеджмента непрерывности деятельности 
Организация должна создать, внедрить, поддерживать и постоянно улучшать СМНД. включая необходимые процессы и их взаимодействие, в соответствии с требованиями настоящего стандарта. 

 5.1 Лидерство и приверженность 
Высшее руководство организации должно продемонстрировать лидерство и приверженность СМНД: 

 5.2.1 Установление политики в области обеспечения непрерывности деятельности 
Высшее руководство должно установить политику в области обеспечения непрерывности деятельности. которая: 

 5.2.2 Обмен информацией о политике в области обеспечения непрерывности деятельности 
Политика в области обеспечения непрерывности деятельности должна: 

 5.3 Функции, обязанности и полномочия 
Высшее руководство должно обеспечивать распределение функций, ответственности и полномочий в СМНД. и обмен данной информацией внутри организации. 
Высшее руководство должно возложить ответственность и полномочия: 

 6.1.1 Определение риска и благоприятных возможностей 
При планировании СМНД организация должна учитывать вопросы, указанные в 4.1. требования, указанные в 4.2, и определить риски и возможности: 

 6.1.2 Снижение риска и использование возможностей 

Организация должна планировать:

 6.2.1 Установление целей в области обеспечения непрерывности деятельности 
Организация должна установить цели в области обеспечения непрерывности деятельности для соответствующих уровней и подразделений. 
Цели в области обеспечения непрерывности деятельности должны: 

Организация должна хранить документированную информацию о целях в области обеспечения непрерывности деятельности. 

 6.2.2 Определение целей в области обеспечения непрерывности деятельности 
При планировании способов достижения целей в области обеспечения непрерывности деятельности организация должна определить: 

 6.3 Планирование изменений в системе менеджмента непрерывностью деятельности 
Если организация определяет необходимость изменений в СМНД, включая определенные в разделе 10, изменения должны быть выполнены в плановом порядке. 
Организация должна учитывать: 

 7.1 Ресурсы 
Организация должна определить и выделить ресурсы, необходимые для создания, внедрения, функционирования и постоянного улучшения СМНД. 

 7.2 Компетентность 
Организация должна: 

 7.3 Осведомленность 
Лица, выполняющие работу по управлению в организации, должны знать: 

 7.4 Обмен информацией 
Организация должна определить внутренние и внешние способы обмена информацией, которые относятся к СМНД. включая: 

 7.5.1 Общие положения 
СМНД организации должна включать следующее: 

 7.5.2 Создание и актуализация 
При создании и обновлении документированной информации организация должна обеспечить соответствующие: 

 7.5.3.1 Организация должна управлять документированной информацией, соответствующей требованиям СМНД и настоящему стандарту для обеспечения: 

 7.5.3.2 Для управления документированной информацией организация должка рассмотреть следующие виды действий с документацией: 

Документированная информация внешнего происхождения, необходимая организации для планирования и эксплуатации СМНД должна быть идентифицирована, и при необходимости должна контролироваться.

Примечание — Доступ может подразумевать решение относительно разрешения только на просмотр документированной информации или на просмотр и изменение документированной информации. 

 8.1 Оперативное планирование и управление 
Организация должна планировать, выполнять и контролировать процессы, необходимые для выполнения требований и осуществления действий, определенных в 6.1: 

Организация должна управлять запланированными изменениями и анализировать последствия непреднамеренных изменений, принимая меры для смягчения всех неблагоприятных последствий, при необходимости. Организация должна обеспечить управление процессами аутсорсинга и цепочкой поставок. 

 8.2.1 Общие положения 
Организация должна: 

 8.2.2 Анализ воздействий на деятельность 
Организация должна использовать процесс анализа воздействий на деятельность для определения приоритетов и требований к обеспечению непрерывности деятельности. 
Процесс должен: 

 8.2.3 Оценка риска
Организация должна выполнять и поддерживать процесс оценки риска.
Примечание — Процесс оценки риска рассмотрен в ИСО 31000.
Организация должна: 

 8.3.1 Общие положения 
На основе результатов анализа воздействий на деятельность и оценки риска организация должна идентифицировать и выбрать стратегии обеспечения непрерывности деятельности, позволяющие рассматривать варианты стратегий до, во время и после нарушения деятельности организации. Стратегии обеспечения непрерывности деятельности могут охватывать одно или несколько решений. 

 8.3.2 Идентификация стратегий и решений 
Идентификация стратегий и решений должна быть основана на уровне их полезности: 

 8.3.3 Выбор стратегий и решений 
Выбор стратегий и решений должен быть основан на уровне их полезности: 

 8.3.4 Требования к ресурсам 
Организация должна определить требования к ресурсам для реализации выбранных решений по обеспечению непрерывности деятельности. Рассматриваемые виды ресурсов должны включать (перечень может быть дополнен) следующим: 

 8.3.5 Выполнение решений 
Организация должна разработать и поддерживать выбранные решения в области обеспечения непрерывности деятельности, чтобы их можно было инициировать при необходимости. 

 8.4.1 Общие положения
Организация должна внедрить и поддерживать структуру реагирования, которая позволит своевременно предупреждать нарушение деятельности организации и проводить обмен информацией с соответствующими заинтересованными сторонами. Организация должна разработать планы и процедуры управления организацией в период нарушения ее деятельности. Планы и процедуры должны быть использованы, когда необходимо инициировать решения по обеспечению непрерывности деятельности.

Примечание — Существуют различные типы процедур, которые включают в планы обеспечения непрерывности деятельности.

Организация должна определить и документировать планы и процедуры обеспечения непрерывности деятельности на основе выбранных стратегий и решений. 
Процедуры должны: 

 8.4.2.1 Организация должна разработать и поддерживать структуру, определяющую одну или несколько команд, ответственных за реагирование на нарушение деятельности организации. 

 8.4.2.2 Функции и обязанности каждой команды и отношения между командами должны быть четко идентифицированы. 

 8.4.2.3 В совокупности команды должны быть компетентны: 

 8.4.2.4 Для каждой команды необходимо: 

 8.4.3.1 Организация должна документировать и поддерживать процедуры: 

 8.4.3.2 Если применимо, должно быть учтено и применено следующее: 

 Процедуры предупреждения и обмена информацией должны быть выполнены в соответствии с программой учений организации (см. 8.5.) 

 8.4.4.1 Организация должна документировать и поддерживать планы и процедуры обеспечения непрерывности деятельности. Эти планы должны обеспечивать руководство и информацию, чтобы помочь командам реагировать на нарушение деятельности организации и помочь организации в реагировании на нарушение деятельности и восстановлении последних. 

 8.4.4.2 В совокупности планы обеспечения непрерывности деятельности должны содержать: 

 8.4.4.3 Каждый план должен включать: 

Каждый план должен быть применимым и доступным в требуемое время и в требуемом месте. 

 8.4.5 Восстановление 
Организация должна иметь документированные процессы для восстановления приоритетной деятельности. начиная с временных мер, принятых во время и после нарушения деятельности организации. 

 8.5 Программа учений 
Организация должна разработать и поддерживать программу обучения и тестирования, чтобы со временем подтвердить результативность своих стратегий и решений по обеспечению непрерывности деятельности. Организации необходимо проводить обучение и тестирование, которые должны: 

 Организация должна действовать исходя из результатов проверок и тестирования для внесения изменений и улучшений. 

 8.6 Оценка документации в области обеспечения непрерывности деятельности и возможностей 
Организация должна: 

Данные оценки необходимо проводить через запланированные интервалы времени, после инцидента или активации и в ситуации, когда происходят значительные изменения в организации. 

 9.1 Мониторинг, измерение, анализ и оценка 
Организация должна определить: 

Организация должна хранить соответствующую документированную информацию в качестве объективных свидетельств полученных результатов. Организация должна оценить показатели и результативность СМНД. 

 9.2.1 Общие положения 
Организация должна проводить внутренние аудиторские проверки через запланированные промежутки времени, чтобы получить информацию о том. что СМНД: 

 9.2.2 Программа(ы) аудита 
Организация должна: 

 9.3.1 Общие положения 
Высшее руководство должно проверять СМНД организации через запланированные промежутки времени для обеспечения ее постоянной пригодности, адекватности и эффективности. 

 9.3.2 Входные данные для анализа со стороны руководства 
Анализ со стороны руководства должен включать рассмотрение: 

 9.3.3.1 Результаты анализа со стороны руководства должны включать решения, касающиеся возможностей постоянного улучшения и необходимости внесения изменений в СМНД для повышения ее результативности и эффективности, включая следующее: 

 9.3.3.2 Организация должна хранить документированную информацию в качестве объективных свидетельств результатов анализа со стороны руководства, включая: 

 10.1.1 Организация должна определить возможности улучшения СМНД и осуществить необходимые действия для достижения ожидаемых результатов. 

 10.1.2 При возникновении несоответствия организация должна: 

Корректирующие действия должны соответствовать последствиям несоответствий. 

 10.1.3 Организация должна хранить документированную информацию в качестве объективных свидетельств, включающую: 

 10.2 Постоянное улучшение
Организация должна постоянно улучшать пригодность, адекватность и результативность СМНД на основе качественных и количественных показателей. Организация должна рассмотреть результаты анализа и оценки, а также результаты анализа со стороны руководства, чтобы определить потребности или возможности, связанные с работой организации в целом или с СМНД, которые следует использовать для постоянного улучшения.

Примечание — Организация может использовать процессы СМНД. такие как лидерство руководства, плакирование и оценка результативности для достижения улучшения.