ISO 28000 (ISO 28000)

Что такое ISO 28000

ISO 28000 – международный стандарт, описывающий требования к системе менеджмента безопасности. Его задача – дать организации управляемый, повторяемый способ находить угрозы, связанные с движением грузов, информации и денег по цепи поставок, оценивать их и снижать до приемлемого уровня. Стандарт применим к любой компании независимо от размера и отрасли: производитель, склад, перевозчик, экспедитор, порт, терминал.

Ключевая идея – не разовый аудит, а постоянно работающая система. Организация описывает свои процессы, определяет, где безопасность может быть нарушена, вводит меры контроля и регулярно проверяет, работают ли они. По результатам проверок меры пересматриваются – это классический цикл «планируй – делай – проверяй – улучшай».

Откуда он взялся и зачем нужен

Стандарт разработан и издаётся Международной организацией по стандартизации (ISO). Первая редакция вышла в 2007 году и была ориентирована именно на безопасность цепи поставок. Действующая редакция – ISO 28000:2022 – переработана под единую структуру стандартов на системы менеджмента (общий каркас разделов, как у ISO 9001 или ISO 14001), поэтому её проще совмещать с другими системами в одной компании.

Смысл внедрения – снизить вероятность и последствия таких событий, как хищение и подмена груза, контрабанда и сокрытие запрещённых вложений, саботаж, несанкционированный доступ, сбои у поставщиков и подрядчиков. Для бизнеса это ещё и сигнал партнёрам и контролирующим органам о зрелости процессов безопасности.

Как устроена система по ISO 28000

Стандарт не диктует конкретных технических решений (какие ставить замки или камеры), а описывает управленческую логику. Основные элементы:

• Контекст и границы. Организация определяет, какие процессы и участки цепи поставок охватывает система безопасности.
• Оценка рисков. Систематически выявляются угрозы безопасности, оценивается их вероятность и тяжесть последствий.
• Политика и цели. Руководство формулирует политику безопасности и измеримые цели.
• Меры управления. Под приоритетные риски вводятся процедуры, роли, требования к персоналу и подрядчикам.
• Мониторинг и аудит. Проверяется, выполняются ли меры и достигаются ли цели.
• Улучшение. По итогам инцидентов и проверок система корректируется.

Важная особенность – риск-ориентированный подход. Ресурсы направляются туда, где угроза для цепи поставок наиболее вероятна и опасна, а не размазываются равномерно.

Сертификация

По ISO 28000 организация может пройти сертификацию в независимом органе. Аудитор проверяет, что система реально работает: есть оценка рисков, меры внедрены, ведутся записи, руководство вовлечено. Сертификат подтверждает соответствие требованиям стандарта, но не гарантирует отсутствие инцидентов – он говорит о наличии управляемого процесса, а не об «абсолютной защите».

Связь с соседними понятиями

ISO 28000 не существует в вакууме. Он опирается на общие принципы управления рисками (ISO 31000) и хорошо стыкуется с системами непрерывности бизнеса (ISO 22301) и информационной безопасности (ISO 27001). По управленческой сути он близок к таможенным программам доверенных участников ВЭД (институт уполномоченного экономического оператора, УЭО): и там, и там речь о доказуемой надёжности и безопасности цепи поставок, хотя это разные инструменты с разными органами.

Материал носит справочный характер и является авторским объяснением сути стандарта, а не воспроизведением его официального текста. Требования и терминология приводятся по действующей редакции ISO 28000:2022; перед практическим применением сверяйтесь с актуальной официальной редакцией стандарта у первоисточника (ISO).

Практический пример

Экспедитор внедряет ISO 28000: проводит оценку рисков по маршрутам, выявляет как уязвимое звено перецепку прицепов на неохраняемой площадке, вводит правило пломбирования с фотофиксацией и проверку подрядчиков-водителей, а затем на внутреннем аудите проверяет, что процедура реально соблюдается. Через год он проходит сертификацию и предъявляет сертификат крупному клиенту как подтверждение контроля безопасности.

Частые ошибки

• Считают, что ISO 28000 – это про физическую охрану (замки, камеры). На деле это управленческий стандарт: он описывает систему управления рисками, а не конкретное оборудование.
• Путают сертификат с гарантией безопасности. Сертификат подтверждает наличие работающего процесса, но не отменяет возможность инцидентов.
• Смешивают ISO 28000 со статусом УЭО (уполномоченного экономического оператора). Это близкие по духу, но разные инструменты с разными органами и требованиями.
• Внедряют документы «для галочки», без реальной оценки рисков и мониторинга – такая система не проходит нормальный аудит и не работает.

Материал носит справочный характер и является авторским объяснением сути стандарта, а не воспроизведением его официального текста. Приводится по редакции ISO 28000:2022 – перед применением сверяйтесь с актуальной официальной редакцией у первоисточника (ISO).