"ГОСТ Р 72254-2025. Национальный стандарт Российской Федерации. Менеджмент риска. Руководящие указания по применению ГОСТ Р ИСО 31000-2019 в системах менеджмента"
(утв. и введен в действие Приказом Росстандарта от 01.09.2025 N 977-ст)

1 ПОДГОТОВЛЕН Федеральным государственным бюджетным учреждением "Российский институт стандартизации" (ФГБУ "Институт стандартизации") на основе собственного перевода на русский язык англоязычной версии стандарта, указанного в пункте 4

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 010 "Менеджмент риска"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 1 сентября 2025 г. N 977-ст

4 Настоящий стандарт является модифицированным по отношению к международному документу IWA 31:2020 "Менеджмент риска. Руководящие указания по применению ИСО 31000 в системах менеджмента" (IWA 31:2020 "Risk management - Guidelines on using ISO 31000 in management systems", MOD), путем внесения изменений, которые выделены в тексте полужирным курсивом, а также исключения приложения C и добавления элемента "Библиография".

Внесение указанных технических отклонений направлено на учет потребностей национальной стандартизации.

Сведения о соответствии ссылочных национальных стандартов международным стандартам, использованным в качестве ссылочных в примененном международном документе, приведены в дополнительном приложении ДА.

Сопоставление структуры настоящего стандарта со структурой указанного международного документа приведено в дополнительном приложении ДБ

5 ВВЕДЕН ВПЕРВЫЕ

6 Некоторые положения международного стандарта, указанного в пункте 4, могут являться объектом патентных прав

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.rst.gov.ru)

Число организаций всех типов и размеров, использующих системы менеджмента, основанные на стандартах ИСО и МЭК (Management System Standard, MSS), устойчиво растет. Разрабатываются новые стандарты ИСО и МЭК на системы менеджмента, рассматривающие конкретные аспекты деятельности, продукцию или услуги организации. Часть 1 директивы ИСО/МЭК определяет структуру высокого уровня (High Level Structure, HLS) для стандартов на системы менеджмента. Эта общая структура регламентирует согласованный основной текст, общие термины и основные определения для всех стандартов на системы менеджмента ИСО и МЭК. Организация может внедрить в свою систему управления требования или рекомендации различных стандартов на системы менеджмента. Унифицированная структура стандартов MSS может упростить для пользователей построение не фрагментарной, а интегрированной системы менеджмента (Integrated Management System, IMS). Во всех стандартах MSS используется концепция, основанная на менеджменте риска, риск-ориентированном подходе или риск-ориентированном мышлении (в зависимости от терминологии, используемой в рассматриваемой системе менеджмента), которая лежит в основе любой системы менеджмента. Главным преимуществом этого является комплексное применение взаимосвязанных систем. Применение ГОСТ Р ИСО 31000 может способствовать развитию или совершенствованию интегрированной системы менеджмента, в нем содержатся рекомендации по определению рисков, на которые необходимо обратить внимание, чтобы обеспечить уверенность в том, что система менеджмента может достигать намеченных результатов, усиливать желаемые эффекты, предотвращать или уменьшать нежелательные эффекты и обеспечивать постоянное улучшение.

ГОСТ Р ИСО 31000 - это передовая практика в области менеджмента риска, которая является общепринятой, универсальной и применимой к менеджменту любых видов рисков. Интеграция менеджмента риска в системе(ах) менеджмента с применением ГОСТ Р ИСО 31000 приносит организации множество преимуществ, независимо от того, касаются ли они только негативных последствий или предусматривают положительные эффекты. Целью менеджмента риска в соответствии с ГОСТ Р ИСО 31000 является создание и защита ценностей организации. Применение ГОСТ Р ИСО 31000 помогает повысить эффективность решений владельцев рисков или владельцев процессов, а также повышает качество управления процессами и всеми другими видами деятельности организации, включая стратегическую и оперативную, что, в свою очередь, способствует достижению лучших результатов, что, в свою очередь, способствует повышению качества выпускаемой продукции, снижению издержек из-за ошибок, а также позволяет управлять ответственностью.

Интеграция менеджмента риска в соответствии с принципами ГОСТ Р ИСО 31000 создает и защищает ценность организаций, способствуя достижению целей и делая организацию более устойчивой к неблагоприятным воздействиям. Измерение рисков позволяет надлежащим образом их оценивать и создает основу для повышения результативности системы управления организацией, достижения улучшенных результатов и предотвращения негативных последствий. Интеграция менеджмента риска в систему управления может создавать сложности, которые можно уменьшить, следуя рекомендациям, изложенным в настоящем стандарте.

Настоящий стандарт содержит руководящие указания по интеграции и применению ГОСТ Р ИСО 31000 в организациях, которые внедрили один или несколько стандартов на системы менеджмента ИСО и МЭК (MSS) или которые решили реализовать проект по внедрению одного или нескольких стандартов MSS, включающих ГОСТ Р ИСО 31000. В настоящем стандарте приведены разъяснения о том, как положения ГОСТ Р ИСО 31000 соотносятся со структурой высокого уровня (HLS) для MSS.

Настоящий стандарт не содержит рекомендаций по внедрению системы менеджмента в целом. В нем не определены требования к MSS. Настоящий стандарт не содержит краткого изложения ГОСТ Р ИСО 31000, но обеспечивает основу для его понимания. Применение настоящего стандарта не устраняет необходимости использования других стандартов, направленных на конкретные аспекты риска.

В настоящем стандарте использованы нормативные ссылки на следующие стандарты:

ГОСТ Р ИСО 31000-2019 Менеджмент риска. Принципы и руководство

Примечание - При пользовании настоящим стандартом целесообразно проверить действие ссылочных стандартов в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет или по ежегодному информационному указателю "Национальные стандарты", который опубликован по состоянию на 1 января текущего года, и по выпускам ежемесячного информационного указателя "Национальные стандарты" за текущий год. Если заменен ссылочный стандарт, на который дана недатированная ссылка, то рекомендуется использовать действующую версию этого стандарта с учетом всех внесенных в данную версию изменений. Если заменен ссылочный стандарт, на который дана датированная ссылка, то рекомендуется использовать версию этого стандарта с указанным выше годом утверждения (принятия). Если после утверждения настоящего стандарта в ссылочный стандарт, на который дана датированная ссылка, внесено изменение, затрагивающее положение, на которое дана ссылка, то это положение рекомендуется применять без учета данного изменения. Если ссылочный стандарт отменен без замены, то положение, в котором дана ссылка на него, рекомендуется применять в части, не затрагивающей эту ссылку.

В настоящем стандарте применены термины и определения по ГОСТ Р ИСО 31000.

Применение терминологии следует рассматривать в контексте ГОСТ Р ИСО 31000-2019 (пункт 3.1), который определяет "риск" для целей менеджмента организации как "следствие влияния неопределенности на достижение поставленных целей". В некоторых стандартах при определении риска не упоминаются цели, но в тексте говорится, что риск необходимо учитывать, чтобы обеспечить уверенность в том, что система менеджмента сможет достичь запланированных результатов. Цель может быть выражена как поставленная задача или результат.

Структура и процесс менеджмента риска в соответствии с ГОСТ Р ИСО 31000 интегрированы и соразмерны внешней и внутренней среде организации, связанным с ее целями. Они включают в себя точки зрения заинтересованных сторон.

В некоторых областях (таких как безопасность, охрана труда, область медицинских изделий) используется другая терминология, отражающая общее понимание термина "риск", которое сужает концепцию риска, определенную в ГОСТ Р ИСО 31000, поскольку оно фокусируется на потенциальном негативном воздействии отклонений от ожидаемого. Данный подход можно считать включенным в более широкое определение риска, установленное в ГОСТ Р ИСО 31000-2019 (пункт 3.1).

В ГОСТ Р ИСО 31000 представлены руководящие указания для всех типов организаций, независимо от их типа и размера, и предназначенные для пользователей, которые создают и защищают ценность организаций посредством менеджмента риска, принятия решений, постановки целей и стратегии, достижения поставленных задач и повышения производительности.

Восемь принципов менеджмента риска служат основой для создания и защиты ценностей организации. Они содержат рекомендации по характеристикам эффективного и действенного менеджмента риска, информируют о его ценности и объясняют его предназначение и цели. ГОСТ Р ИСО 31000 обеспечивает единый подход к менеджменту любых видов риска, с которым сталкивается организация на протяжении всей своей деятельности.

Цель системы менеджмента риска заключается в том, чтобы помочь организации интегрировать менеджмент риска в значимых видах деятельности и функциях. Результативность менеджмента риска будет зависеть от его интеграции в систему управления организацией, включая процесс принятия решений.

Процесс менеджмента риска, изложенный в ГОСТ Р ИСО 31000, должен быть интегрирован пропорционально внешней и внутренней среде организации, связанной с ее целями. Его следует интегрировать таким образом, чтобы он стал неотъемлемой частью системы управления и был адаптирован к структуре, деятельности и процессам организации.

Применяя руководящие указания, касающиеся принципов и структуры, организация может выбрать индивидуальную настройку применения процессов менеджмента риска в своей системе управления с учетом любого типа риска, с которыми она сталкивается на протяжении всей своей деятельности. Добавление этапов процесса менеджмента риска может улучшить систему управления. В этом контексте необходимо помнить, что, хотя процесс менеджмента риска часто представляется как последовательный, но на практике он является итеративным.

Менеджмент риска следует применять каждый раз, когда имеется какая-либо информация или оценка, которые инициируют или дополняют процесс или деятельность, или когда происходят изменения в среде организации.

В этой информации или оценке может быть некоторая неопределенность, которая может повлиять на достижение целей. В ГОСТ Р ИСО 31000-2019 (пункт 3.1) эффект объясняется как отклонение от ожидаемого, которое может быть положительным, отрицательным или и тем, и другим. Следовательно, организация должна пересматривать процедуру идентификации риска каждый раз, когда появляется новая информация или оценки, имеющие отношение к ее процессам и деятельности.

На рисунке 1 показано наложение руководящих указаний ГОСТ Р ИСО 31000 на структуру общих положений HLS для MSS. В верхней строке приведены ссылки на разделы HLS, а в левом столбце представлены разделы структуры ГОСТ Р ИСО 31000. Например, если посмотреть на ячейку пересечения ГОСТ Р ИСО 31000-2019 (подраздел 5.2), посвященную лидерству, и раздела HLS о лидерстве, серый цвет указывает на то, что должен существовать процесс, относящийся к менеджменту риска. Таким образом, эту таблицу целесообразно использовать в качестве ориентира. Более подробная информация о связях между разделами приведена в таблице A.1.

Менеджмент риска может быть реализован с помощью процессного подхода к системе управления. Структуру ГОСТ Р ИСО 31000 следует объединить с системой менеджмента путем применения анализа неиспользованных резервов для включения компонентов структуры ГОСТ Р ИСО 31000. Интеграция менеджмента риска в процессном подходе позволяет избежать дублирования и противоречий.

Для достижения эффективной и действенной интеграции и внедрения структуры ГОСТ Р ИСО 31000 и его процессов в другие MSS организация должна принять принципы, изложенные в ГОСТ Р ИСО 31000. В [1] содержатся подробные инструкции по интеграции MSS.

Приложение A содержит рекомендации для организации с описанием подходов к интеграции менеджмента риска в свои MSS. Приложение B представляет собой анализ примеров по включению ГОСТ Р ИСО 31000 в междисциплинарную систему менеджмента.

В таблице A.1 показаны связи между основными разделами ГОСТ Р ИСО 31000 и наиболее важными соответствующими разделами HLS для MSS. Пользователи ГОСТ Р ИСО 31000 могут внедрять методы менеджмента риска в систему управления организации, в которой рассматриваются эти разделы HLS.

Примеры внедрения иллюстрируют целостный подход к менеджменту риска в организации, охватывающий ряд аспектов и основанный на принципах ГОСТ Р ИСО 31000 и HLS для MSS. Анализ примеров не дает каких-либо указаний о том, как интегрировать ГОСТ Р ИСО 31000 в систему(ы) менеджмента организации. Он также не содержит требований, относящихся к каждому из упомянутых MSS.

Выделены только аспекты некоторых разделов/требований (которые считаются особенно эффективными), чтобы показать, как применение требований к процессам системы менеджмента качества (QMS) организации было пересмотрено с точки зрения менеджмента риска.

В анализе примеров применены следующие виды написания текста:

- курсив: представляет точку зрения организации;

- обычный текст: содержит руководящие указания.

Примечание - В настоящем приложении используется термин "заинтересованная сторона". Согласно определению термина "причастная сторона" в ГОСТ Р ИСО 31000-2019 (пункт 3.3) также можно применять термин "заинтересованная сторона".

"XYZ" - это вымышленная организация, со следующими характеристиками:

а) в ее состав входит приблизительно 120 человек;

б) ее деятельность связана с разработкой, продажей, техническим консультированием и производством продукции путем смешения в порошкообразном и жидком состоянии:

1) химических средств для обработки поверхностей материалов,

2) химических средств для очистки воды,

3) смазочных материалов для механической обработки,

4) химических вспомогательных ингредиентов,

5) временных защитных пленок и клеевых систем для аэрокосмической промышленности,

в) это коммерческая корпорация;

г) компания должна учитывать нормативно-правовую среду, действующую в нескольких странах, по таким вопросам, как требования к утилизации, требования к химическим отходам, требования к транспортированию, требования безопасности и т.д.;

Организация сертифицирована по ГОСТ Р ИСО 9001.

После сертификации по ГОСТ Р ИСО 9001 клиенты предъявляли дополнительные требования к работе с другими стандартами на системы менеджмента (MSS) для управления аспектами окружающей среды, здоровья и безопасности, которые использовались как отдельные системы.

К концу декабря 2017 года менеджер по качеству (QM) осознал возможность интеграции менеджмента риска в соответствии с ГОСТ Р ИСО 31000 в систему управления компанией, начиная с консолидированной QMS.

После обсуждения с руководителем организации и получения его принципиального одобрения QM предложил руководителю организации совместно посетить семинар, на котором организации из трех разных секторов поделятся своим собственным опытом использования ГОСТ Р ИСО 31000, в том числе и опытом перехода с редакции 2010 года на редакцию 2019 года. К концу семинара руководитель организации и QM осознали ценность внедрения структуры менеджмента риска для поддержки систем менеджмента в организации и приняли решение двигаться дальше.

Подход к менеджменту риска должен быть интегрирован в существующую систему менеджмента по ГОСТ Р ИСО 9001. Руководитель организации и совет директоров возложили на отдел управления качеством ответственность и наделили его полномочиями по подготовке подробного проекта, в котором должны были быть сформулированы положения и способы подхода к менеджменту риска в соответствии с ГОСТ Р ИСО 31000. Они также поручили всем владельцам процессов активно сотрудничать с отделом управления качеством как при подготовке, так и при реализации проекта.

B.3 Применение системы менеджмента риска (в соответствии с ГОСТ Р ИСО 31000) в существующей системе менеджмента качества (QMS)

Помимо разделов ГОСТ Р ИСО 9001, в которых прямо упоминается риск (связанный с возможностями и угрозами), почти во всех разделах и соответствующих требованиях имеются прямые или косвенные ссылки на риск и менеджмент риска.

Приведенные ниже соображения были приняты во внимание организацией.

Планирование (см. ГОСТ Р ИСО 9001-2015, раздел 6) считалось ключевым пунктом менеджмента риска, поскольку оно является неотъемлемой частью концепции влияния неопределенности на достижение целей.

Понимание организации и ее среды (см. ГОСТ Р ИСО 9001-2015, подраздел 4.1) было основой как для создания процессов системы менеджмента, так и для структуры и процесса менеджмента риска. Определение соответствующих заинтересованных сторон, их потребностей и ожиданий стало основой для создания системы менеджмента и ее процессов, а также для определения критериев риска. Требования, касающиеся обмена информацией (см. ГОСТ Р ИСО 9001-2015, подраздел 7.4), были дополнены предложениями по обмену информацией и консультированию, приведенными в ГОСТ Р ИСО 31000.

Документированная информация (см. ГОСТ Р ИСО 9001-2015, подраздел 7.5) в соответствии с HLS требует наличия, в дополнение к документам, непосредственно указанным в стандарте, документированной информации, которая, по мнению организации, необходима для результативности QMS. В проекте было указано, что менеджмент риска должен использоваться для определения того, какие документы, помимо тех, которые требуются стандартом, необходимы и какой должна быть степень их детализации. Помимо рассмотрения размера организации, вида ее деятельности, сложности процессов, их взаимодействия и компетентности персонала, по каждому процессу можно было бы задать два вопроса:

а) к каким негативным последствиям может привести отсутствие документированной информации (процедур, инструкций, записей или низкая степень их детализации)?

б) какие положительные результаты можно было бы получить, введя новую процедуру, инструкцию, регистрацию или повысив уровень детализации существующих процедур, инструкций, регистрации?

Были определены процессы (см. ГОСТ Р ИСО 9001-2015, подраздел 4.4), необходимые для системы управления, и их применения во всей организации, независимо от того, совершаются ли эти процессы внутри компании или на аутсорсинге. Для каждого процесса (внутреннего или внешнего) со значительной неопределенностью в проекте было указано, что необходимо определить:

Существует тесная взаимосвязь между менеджментом риска и принятием решений, которая четко изложена и подтверждена во многих разделах ГОСТ Р ИСО 31000-2019. Таким образом, применение системы менеджмента риска позволяет, помимо прочего, реализовать один из принципов менеджмента качества: принятие решений на основе фактических данных.

Кроме того, первая часть раздела 7 ГОСТ Р ИСО 9001-2015 (подразделы 7.1, 7.2 и 7.3), хоть и не содержит явных ссылок на менеджмент риска, была истолкована с этой позиции, с целью предоставления ресурсов (персонала, инфраструктуры и рабочей среды), позволяющих использовать возможности и избегать нежелательных событий для достижения главной цели - удовлетворения потребностей все большего числа потребителей, а также других соответствующих заинтересованных сторон. Персонал должен обладать необходимой компетентностью и ресурсами, чтобы держать под контролем риски, связанные с его деятельностью. Весь персонал был проинформирован обо всех видах рисков, с которыми они сталкиваются, и об их вкладе в достижение целей организации.

Деятельность на стадиях жизненного цикла продукции и услуг (ГОСТ Р ИСО 9001-2015, раздел 8) является ключевым разделом, и менеджмент риска строго применялся при внедрении требований, описанных в ГОСТ Р ИСО 9001. Установление требований к продукции и услугам, взаимоотношения с потребителями, а также проектирование и разработка продукции и услуг - все это влияло на рассмотрение связанных с ними возможностей и угроз.

Оценка результатов деятельности и повышение эффективности рассматривались с учетом мероприятий по мониторингу и пересмотру, описанных в ГОСТ Р ИСО 31000-2019, подраздел 6.6), а также аспекта структуры, касающегося оценки эффективности и улучшения (см. ГОСТ Р ИСО 31000-2019, подразделы 5.6 и 5.7).

Документирование и отчетность (см. ГОСТ Р ИСО 31000-2019, подраздел 6.7) были внедрены в объеме, которого требовала фактическая необходимость учета и документирования менеджмента риска в зависимости от значимости риска.

В процессе работы также учитывалось следующее.

В связи с этим на риски, связанные с качеством, могут влиять факторы неопределенности, которые могут возникать, например, в результате:

- инноваций в сфере продукции и технологических изменений;

- изменений в цепи поставок;

- обязательств по соответствию требованиям;

- мнений заинтересованных сторон относительно этики, принципов, ценностей организации и ожиданий;

- информационной безопасности;

- надежности инфраструктуры.

Внедрение принципов, структуры и процессов, приведенных в ГОСТ Р ИСО 31000 выявило, что следует отказаться от изолированного подхода к управлению организацией и соответствующими рисками в пользу более широкого, интегрированного. Руководитель организации и Совет директоров убедились в том, что пришло время следовать философии менеджмента риска на предприятии (ERM), которая учитывает все виды рисков и управляет ими комплексно и скоординировано.

Часто риски затрагивают не одну, а многие области деятельности. В особых случаях возможности в одной области (например, в области качества) могут представлять собой угрозу для другой [например, в области защиты окружающей среды или охраны труда и здоровья (OH&S)] и наоборот. Это еще одна причина, почему лучше осуществлять менеджмент областей и соответствующих рисков комплексно и скоординировано, поддерживая необходимые компетенции в различных областях.

Это означает, что необходимо применять требовательный подход к оценке риска, к любому виду риска любого характера, который влияет на стратегические и оперативные цели. Это позволяет организации выявлять не только угрозы, но и те возможности, которые могут быть использованы для получения конкурентного преимущества. Это также является философией HLS для стандарта на системы менеджмента (MSS).

Большинство элементов, рассматриваемых для интеграции менеджмента риска в систему менеджмента качества (см. выше), целесообразны и применимы для менеджмента риска в других областях: защита окружающей среды и охрана труда и здоровья, а также информационная безопасность.

В некоторых MSS, например, ГОСТ Р ИСО 14001, ГОСТ Р ИСО/МЭК 27001 и ГОСТ Р ИСО 45001, содержатся требования к оценке и обработке риска. Организации преимущественно сосредотачиваются на управлении потенциальными угрозами и могут упускать из виду возможности, предоставляемые ситуацией.

а) создать единую "интегрированную систему менеджмента", охватывающую гармонично и скоординировано три области: качество, защита окружающей среды, безопасностью труда и охраной здоровья;

б) провести сертификацию по ГОСТ Р ИСО 45001 к первой половине 2019 года;

в) возложить на руководителя направления QM ответственность и полномочия по координации создания, внедрения, поддержания и постоянного улучшения IMS со встроенной структурой и процессом менеджмента риска; QM также является руководителем, ответственным за поддержку всей организации в области менеджмента риска;

г) все владельцы процессов в организации также являются владельцами риска, т.е. имеют подотчетность и полномочия в области менеджмента риска в пределах сферы своей ответственности, а также предоставляют знания и навыки, относящиеся к конкретной области для поддержки QMS.

Риски, связанные с охраной окружающей среды, и риски, связанные с безопасностью труда и охраной здоровья (OH&S), - это те риски, на которые влияют или которые касаются вопросов, имеющих отношение к окружающей среде и безопасности труда и охране здоровья соответственно.

Риски, связанные с охраной окружающей среды, - это, главным образом, риски для окружающей среды, возникающие в связи с тем, что экологический аспект оказывает воздействие на окружающую среду.

Риски, связанные с безопасностью труда и охраной здоровья (OH&S), - это, главным образом, риски для здоровья и безопасности работников, возникающие в связи с тем, что опасное событие или воздействие, связанное с выполнением работы, причинит вред (травму или ущерб здоровью людей).

Неопределенность, как правило, проявляется в отношении оперативного контроля и механизмов, предназначенных для управления экологическими аспектами, а также аспектами техники безопасности и гигиены труда. Существует вероятность того, что средства управления/механизмы выйдут из строя или станут неэффективными, что может привести к неблагоприятному воздействию/нежелательному эффекту.

Риски, связанные с окружающей средой и с техникой безопасности и гигиеной труда, также относятся к категории рисков для организации, возникающих из-за неопределенности того, что проблемы или вопросы, связанные с окружающей средой или техникой безопасности и гигиеной труда, могут вызвать одно или несколько последствий, как неблагоприятных, так и благоприятных. Эти риски могут касаться следующих вопросов (но не ограничиваться ими):

- обязательства по соблюдению нормативно-правовых требований, ответственность за качество продукции, судебные издержки и расходы, связанные с травмами;

- благополучие, работоспособность или производительность труда работников;

- разрешение на строительство и текущую деятельность организации;

- имидж и репутация организации, а также доверие к бизнесу организации;

- конкуренция и конкуренты;

- изменчивость погоды и изменение климата;

- ущерб от природных явлений, который также может включать в себя неблагоприятное воздействие на окружающую среду;

- устойчивость бизнеса.

B.5 Интеграция со стандартом на менеджмент информационной безопасности (MSS) (ГОСТ Р ИСО/МЭК 27001)

Примеры факторов, которые необходимо учитывать в этом контексте включают в себя внедрение, замену или реконфигурацию средств информационного обеспечения и технического оснащения или оборудования (анализ данных большого объема, искусственный интеллект, а также облако и GPS, там, где это необходимо) для мониторинга и управления:

- производственными процессами, с целью повышения результативности, обеспечения сбалансированных потоков материалов и полуфабрикатов, а также результативности (дефектности конечной продукции);

- жизненным циклом продукции для улучшения менеджмента цепи поставок (в том числе и менеджмент риска);

- инфраструктурой производства для проведения профилактического технического обслуживания при частичной или полной замене традиционных процессов технического обслуживания (оперативное техническое обслуживание может быть дорогостоящим и опасным);

- устройством и инфраструктурой для обеспечения охраны труда и безопасности здоровья (OH&S), а также средствами индивидуальной защиты (носимых) для осуществления мониторинга и управления в режиме реального времени для улучшения условий труда и самочувствия;

- экологических аспектов.

Учитывая, что внедрение новых информационно-коммуникационных технологий привело к необходимости управления рисками, связанными с новыми технологиями, было принято решение также внедрить положения ГОСТ Р ИСО/МЭК 27001. Высшее руководство организации руководствовалось следующими положениями:

а) в контексте систем менеджмента информационной безопасности риски информационной безопасности могут быть определены как влияние неопределенности на цели информационной безопасности;

б) риски информационной безопасности связаны с возможностью того, что угрозы будут использовать уязвимости и тем самым причинят вред организации;

в) цели информационной безопасности связаны с основными последствиями инноваций в следующих областях:

г) результативность управления организацией, поскольку она основана на пирамиде DIKW data, information, knowledge and wisdom (т.е. данные, информация, знания, вместе с методами применения, средствами обеспечения и системами для их обработки);

д) уверенность в том, что информация организации надлежащим образом и на постоянной основе защищена от угроз (сбоев и/или кибератак);

е) имидж и репутация, связанные со способностью организации защищать персональные данные, данные и ноу-хау потребителей, а также свои собственные данные;

ж) сохранение качества информации связано со следующими требованиями информационной безопасности:

1) конфиденциальность (свойство, заключающееся в том, что информация не предоставляется и не разглашается неуполномоченным лицам, организациям или процессам),

2) целостность (свойство, при котором информация является точной и полной),

3) доступность информации (свойство быть доступной и пригодной к использованию по требованию уполномоченного субъекта),

4) устойчивость бизнеса.

Все возможности, предоставляемые новыми информационно-коммуникационными технологиями, создают ряд серьезных угроз, которые наряду с уязвимостями аппаратного и программного обеспечения потенциально могут привести к возникновению новых рисков, связанных с информационно-коммуникационными технологиями. В этой связи организация должна определить необходимость создания, внедрения, поддержания в рабочем состоянии и постоянного улучшения системы менеджмента информационной безопасности в соответствии с требованиями ГОСТ Р ИСО/МЭК 27001.

Применение менеджмента риска в системах менеджмента, основанное на требованиях одного или нескольких MSS, в соответствии с ГОСТ Р ИСО 31000, должно быть в центре внимания организации.

Это было сделано для интеграции концепций из разных областей в одной системе управления. Проект представляет собой пример принятия целостного подхода, использующего преимущества синергии, обеспечиваемой интеграцией руководящих принципов ГОСТ Р ИСО 31000 и требований некоторых MSS (таких как ГОСТ Р ИСО 9001, ГОСТ Р ИСО 14001, ГОСТ Р ИСО/МЭК 27001 и ГОСТ Р ИСО 45001).

Для управления всеми рисками, связанными с возможностями и угрозами, следует применять систематический, всеобъемлющий и актуальный подход, поскольку это помогает организации достигать стратегических бизнес-целей, одновременно создавая и защищая ценность для всех соответствующих заинтересованных сторон.