ГОСТ Р ИСО 22313-2021. Национальный стандарт Российской Федерации. Надежность в технике. Системы менеджмента непрерывности деятельности. Руководство
9 Оценка показателей СМНД
9.1 Мониторинг, измерение, анализ и оценка
9.1.1 Общие положения
Процедуры мониторинга, измерения, анализа и оценки эффективности и результативности СМНД должны включать:
a) определение методов мониторинга, анализа измерений и оценки, в том числе:
1) указание того, что должно подпадать под мониторинг и измерение;
2) определение того, как, когда и кем должны быть проведены мониторинг и измерения;
3) установление показателей эффективности, включая качественные и количественные измерения, которые подходят для организации и обеспечивают достоверные результаты;
4) запись данных и результатов для облегчения последующего анализа корректирующих действий;
b) изучение исторических свидетельств;
c) мониторинг степени выполнения политики и целей организации в области обеспечения непрерывности деятельности;
d) измерение соответствия СМНД применимым законодательным и обязательным требованиям;
e) мониторинг несоответствий и других свидетельств недостаточной эффективности СМНД.
9.1.2 Хранение доказательств
Организация должна хранить соответствующую документированную информацию обо всех периодических оценках и их результатах.
9.1.3 Оценка показателей СМНД
Организация должна использовать показатели эффективности для оценки эффективности и результативности СМНД с целью выявления успехов и областей, требующих коррекции или улучшения. Полученные данные могут быть использованы для выявления закономерностей и предоставления организации возможности получать информацию о работе СМНД.
9.2 Внутренний аудит
9.2.1 Общие положения
Организация должна проводить внутренние аудиты с запланированной периодичностью для оценки эффективности СМНД.
Внутренние аудиты СМНД обеспечивают механизм оценки того, в какой степени СМНД достигает своих целей, соответствует запланированным мероприятиям, должным образом внедряется и поддерживается, а также выявления возможностей для улучшения. Внутренние аудиты СМНД должны проводиться с запланированной периодичностью для определения и предоставления информации высшему руководству о целесообразности и эффективности СМНД, а также обеспечения основы для постановки целей постоянного повышения эффективности СМНД.
9.2.2 Программа аудита
Организация должна разработать программу аудита (см. ИСО 19011) для руководства планированием и проведением аудитов, а также для определения аудитов, необходимых для достижения целей программы. Программа должна быть основана на характере деятельности организации с точки зрения ее оценки риска и анализа воздействий на деятельность, результатах прошлого анализа и других соответствующих факторах.
Программы внутреннего аудита должны быть основаны на полной области применения СМНД, однако одна аудиторская проверка обычно не может охватить всю систему сразу. Аудиты могут быть разделены на более мелкие части при условии, что программа аудита обеспечивает, что все организационные подразделения, функции, виды деятельности, системные элементы и вся область применения СМНД будут проверены в рамках программы аудита в течение периода аудита, назначенного организацией.
Результаты внутреннего аудита СМНД могут быть представлены в виде отчета и использованы для исправления или предотвращения конкретных несоответствий, а также для внесения вклада в проведение анализа со стороны руководства.
Внутренние аудиты СМНД могут быть проведены персоналом внутри организации или внешними лицами, выбранными организацией и работающими от ее имени. Во всех случаях лица, проводящие аудит, должны быть компетентны и способны делать это беспристрастно и объективно. В небольших организациях независимость аудитора может быть продемонстрирована тем, что аудитор свободен от ответственности за проверяемую деятельность.
9.3 Анализ со стороны руководства
9.3.1 Общие положения
Высшему руководству следует проводить плановую проверку СМНД организации с целью обеспечения ее постоянной пригодности, адекватности и эффективности, включая эффективное функционирование ее процедур и возможностей обеспечения непрерывности.
9.3.2 Входные данные для анализа со стороны руководства
Анализ со стороны руководства должен включать оценку:
- статуса действий по результатам предыдущих анализов;
- эффективности системы управления, включая тенденции, проявляющиеся в результате несоответствий и корректирующих действий, результаты мониторинга и измерения, а также результаты аудита;
- изменения в цепочке поставок и эффективность механизмов обеспечения непрерывности цепочки поставок;
- других изменений в организации и ее областей применения (см. 4.1) и обратную связь от заинтересованных сторон (см. 4.2), что может повлиять на систему менеджмента;
- возможностей для постоянного улучшения.
Анализ со стороны руководства предоставляет высшему руководству возможность оценить постоянную пригодность, адекватность и эффективность системы управления. Анализ со стороны руководства должен охватывать область применения СМНД и все исключения (см. 4.3), хотя нет необходимости рассматривать все элементы сразу, и процесс анализа может проходить в течение определенного периода времени.
Анализ внедрения и результатов СМНД высшим руководством должен регулярно планироваться и оцениваться. Хотя постоянный системный анализ является желательным, формальный анализ должен быть структурирован, надлежащим образом документирован и запланирован на регулярной основе. Лица, участвующие в реализации СМНД и распределении ее ресурсов, должны быть привлечены к проведению анализа со стороны руководства.
В дополнение к регулярно планируемым аудитам системы менеджмента следующие факторы могут инициировать проверку и в противном случае должны быть дополнительно рассмотрены после того, как проверка будет запланирована:
a) отраслевые тенденции: основные отраслевые инициативы должны инициировать анализ СМНД. Общие тенденции и передовая практика в отрасли, а также методы планирования непрерывности деятельности/операционной деятельности могут быть использованы для целей бенчмаркинга;
b) законодательные требования: новые нормативные требования могут потребовать пересмотра СМНД;
c) опыт инцидентов: проверка должна проводиться после реагирования на нарушение, даже если процедура реагирования не была активирована. Если процедура ответных мер активирована, то в анализе следует рассмотреть историю процедуры ответных мер, как она работала и почему была активирована. Если процедура ответных мер не была активирована, то в ходе проверки следует выяснить, почему она не была активирована и было ли это правильное решение. Также может быть полезно проанализировать нарушения, затрагивающие другие организации в том же секторе и аналогичных отраслях.
9.3.3 Результаты анализа со стороны руководства
9.3.3.1 Улучшение СМНД
Анализ со стороны руководства должен привести к повышению эффективности и результативности СМНД и может привести к следующим изменениям:
- внесение изменений в область применения СМНД;
- обновление стратегий и решений обеспечения непрерывности деятельности;
- изменения в средствах управления и способах измерения их эффективности.
9.3.3.2 Хранение документированной информации
Организация должна хранить документированную информацию в качестве доказательства результатов проверок со стороны руководства и должна:
- быть доведена до сведения соответствующих заинтересованных сторон;
- инициировать соответствующие меры в связи с этими результатами.
Подписаться на обновления