ГОСТ Р ИСО 28004-4-2018 Система менеджмента безопасности цепи поставок. Руководящие указания по внедрению ИСО 28000. Часть 4. Дополнительное специальное руководство по внедрению ИСО 28000, когда соответствие ИСО 28001 является целью менеджмента.

ГОСТ Р ИСО 28004-4-2018 Система менеджмента безопасности цепи поставок. Руководящие указания по внедрению ИСО 28000. Часть 4. Дополнительное специальное руководство по внедрению ИСО 28000, когда соответствие ИСО 28001 является целью менеджмента.

ГОСТ Р ИСО 28004-4-2018

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

СИСТЕМА МЕНЕДЖМЕНТА БЕЗОПАСНОСТИ ЦЕПИ ПОСТАВОК

Руководящие указания по внедрению ИСО 28000

Часть 4

Дополнительное специальное руководство по внедрению ИСО 28000, когда соответствие ИСО 28001 является целью менеджмента

Security management systems for the supply chain. Guidelines for the implementation of ISO 28000. Part 4. Additional specific guidance on implementing ISO 28000 if compliance with ISO 28001 is a management objective

ОКС 03.100.01

Дата введения 2019-06-01

Предисловие

1 ПОДГОТОВЛЕН Федеральным государственным унитарным предприятием "Всероссийский научно-исследовательский институт стандартизации оборонной продукции и технологий" (ФГУП "Рособоронстандарт") на основе официального перевода на русский язык англоязычной версии указанного в пункте 4 стандарта, который выполнен ФГУП "Стандартинформ"

2 ВНЕСЕН Техническим комитетом по стандартизации ТК 010 "Менеджмент риска"

3 УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 27 июля 2018 г. N 436-ст

4 Настоящий стандарт идентичен международному стандарту ИСО 28004-4:2014* "Системы менеджмента безопасности цепи поставок. Руководящие указания по внедрению ИСО 28000. Часть 4. Дополнительное специальное руководство по внедрению ИСО 28000, когда соответствие ИСО 28001 является предметом менеджмента" (ISO 28004-4:2014 "Security management systems for the supply chain - Guidelines for the implementation of ISO 28000 - Part 4: Additional specific guidance on implementing ISO 28000 if compliance with ISO 28001 is a management objective", IDT).

Международный стандарт разработан Техническим комитетом ISO/TC 8 "Суда и морские технологии".

Наименование настоящего стандарта изменено относительно наименования указанного международного стандарта для приведения в соответствие с ГОСТ Р 1.5-2012 (пункт 3.5).

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты, сведения о которых приведены в дополнительном приложении ДА

5 ВВЕДЕН ВПЕРВЫЕ

6 Некоторые элементы настоящего стандарта могут являться объектами патентных прав

Правила применения настоящего стандарта установлены в статье 26 Федерального закона от 29 июня 2015 г. N 162-ФЗ "О стандартизации в Российской Федерации". Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе "Национальные стандарты", а официальный текст изменений и поправок - в ежемесячном информационном указателе "Национальные стандарты". В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске ежемесячного информационного указателя "Национальные стандарты". Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (www.gost.ru)

Введение

Настоящий стандарт подготовлен с целью дополнения основных положений ИСО 28004-1 в части использования наилучших практик, приведенных в ИСО 28001 в качестве цели менеджмента в международных цепях поставок.

Дополнительное руководство, изложенное в настоящем стандарте, не противоречит общему руководству, изложенному в ИСО 28004-1.

ИСО 28004-1 представляет собой общее руководство, содержащее основные положения и рекомендации по внедрению ИСО 28000, которые способствуют лучшему пониманию его требований.

ИСО 28001 и ИСО 28000 не противоречат друг другу несмотря на более конкретизированные технические требования безопасности, изложенные в ИСО 28001.

Применение настоящего стандарта помогает соответствовать критериям безопасности уполномоченного экономического оператора.

1 Область применения

Настоящий стандарт содержит дополнительное руководство для организаций, внедряющих ИСО 28000 и желающих использовать приведенные в ИСО 28001 наилучшие практики в качестве цели менеджмента в международных цепях поставок. Наилучшие практики, изложенные в ИСО 28001, помогают организациям определять и документировать уровни безопасности внутри международной цепи поставок, а также способствуют процессу валидации в национальных программах уполномоченного экономического оператора (далее - УЭО), которые разработаны в соответствии с рамочными стандартами безопасности Всемирной таможенной организации (далее - ВТО).

Настоящий стандарт не является самостоятельным документом. Основная часть ИСО 28004-1 предусматривает руководство, относящееся к необходимым входным данным, процессам, выходным данным и другим требуемым ИСО 28000 элементам. В настоящем стандарте изложено дополнительное специальное руководство по внедрению ИСО 28000, когда соответствие ИСО 28001 является целью менеджмента.

Некоторые требования, установленные в программе УЭО ВТО, относятся к функциям органов исполнительной власти и не рассматриваются в международных стандартах ИСО. Они включают:

- демонстрируемое соответствие таможенным требованиям. Таможенные органы при рассмотрении запроса о статусе УЭО должны принимать во внимание демонстрируемое соответствие событий, предшествующих получению статуса;

- соответствующую требованиям систему управления коммерческими записями. Статус УЭО обязывает поддерживать своевременные, точные, полные и верифицируемые записи, связанные с импортом и экспортом. Поддержание верифицируемых коммерческих записей является необходимым элементом безопасности международной торговой цепи поставок;

- финансовую устойчивость. Финансовая устойчивость УЭО является важным индикатором способности поддерживать и улучшать меры обеспечения безопасности цепи поставок;

- консультации, сотрудничество и обмен информацией. Таможенные, другие компетентные органы и УЭО на всех уровнях - международном, национальном и местном - должны регулярно оказывать консультации по вопросам, представляющим взаимный интерес, включая безопасность цепи поставок и меры снижения ограничений, таким образом, чтобы не ставить под угрозу осуществление их деятельности. Результаты таких консультаций должны способствовать развитию и поддержанию имеющейся в таможенных органах стратегии менеджмента риска.

2 Нормативные ссылки

Для применения настоящего стандарта необходимы следующие ссылочные нормативные документы*. Для датированных ссылок применяют только указанное издание ссылочного документа. Для недатированных ссылок применяют последнее издание ссылочного документа (включая все его изменения):

ISO 20858, Ships and marine technology - Maritime port facility security assessments and security plan development (Суда и морские технологии. Оценки безопасности морских портовых сооружений и разработка плана обеспечения безопасности)

ISO 28000, Specification for security management systems for the supply chain (Системы менеджмента безопасности цепи поставок. Технические условия)

ISO 28001, Security management systems for the supply chain - Best practices for implementing supply chain security, assessments and plans - Requirements and guidance (Системы менеджмента безопасности цепи поставок. Наилучшие методы обеспечения безопасности в цепи поставок, оценки и планы. Требования и руководящие указания)

ISO 28004-1, Security management systems for the supply chain - Guidelines for the implementation of ISO 28000 - Part 1: General principles (Системы менеджмента безопасности цепи поставок. Руководство по внедрению ИСО 28000. Часть 1. Основные принципы)

3 Общие сведения

Рисунок 1 иллюстрирует, как соответствие и возможная сертификация по ИСО 28000, включающему наилучшие практики, приведенные в ИСО 28001, дополняют требования национальных, региональных программ или программ УЭО, а также определенные промышленные программы, содействуя их валидации.

Организации также могут выбрать соответствие ИСО 28000 и ИСО 28001 для улучшения и документирования менеджмента безопасности цепи поставок без цели получения сертификации УЭО.

Рисунок 1 - Стандарты безопасности, дополняющие друг друга в части обеспечения безопасности цепи поставок

4 Структура настоящего стандарта

В разделе 5 приведены таблицы, в которых отражены объединенные требования рамочных стандартов безопасности ВТО к УЭО, а также разделы ИСО 28000 и ИСО 28001, в которых представлены требования к УЭО.

Раздел 6 содержит практическое руководство для включения различных требований ИСО 28001 в ИСО 28000 в качестве входных данных, процессов или выходных данных.

Раздел 7 содержит замечания для разъяснения незначительных различий в терминологии, используемой в ИСО 28000 и ИСО 28001.

5 Объединенные требования рамочных стандартов безопасности Всемирной таможенной организации к уполномоченному экономическому оператору

В таблицах 1-9, приведенных в настоящем разделе, требования к УЭО выделены жирным шрифтом. Далее следует краткое изложение этого требования. Ниже, в следующей строке, указаны разделы ИСО 28000 и ИСО 28001, в которых рассмотрены эти требования. Большинство требований к УЭО ВТО приведены в таблицах 1-9, включая требования, которые определены как функции государственных органов во введении. Следует отметить, что национальные программы УЭО могут иметь дополнительные требования, в том числе специальные минимальные критерии, которые могут быть рассмотрены в ИСО 28000 или ИСО 28001 не в полном объеме.

Таблица 1

A. Обучение, подготовка и осведомленность

Таможенные органы и операторы УЭО должны разработать механизмы для обучения и подготовки персонала относительно политики безопасности, распознавания отклонений от этой политики и понимания действий, которые должны быть предприняты в ответ на ошибки в обеспечении безопасности

ИСО 28000, 4.4.2 (Компетентность, подготовка и осведомленность)

ИСО 28001, 5.3.1 (Персонал, проводящий оценку)

Таблица 2

B. Обмен информацией, доступность и конфиденциальность

Таможенные органы и операторы УЭО, являясь частью общей комплексной стратегии защиты конфиденциальной информации, должны разработать или улучшить способы защиты охраняемой информации от неправильного использования или несанкционированного изменения

ИСО 28000, 4.2 (Политика в области безопасности), 4.4.5 (Управление документами и данными), 4.5.4 (Управление записями)

ИСО 28001, 5.8 (Защита информации по обеспечению безопасности и охраны)

Таблица 3

C. Безопасность груза

Таможенные органы и операторы УЭО должны определить и/или проводить комплекс мероприятий, гарантирующих целостность грузов и самый высокий возможный уровень средств контроля доступа, а также установить стандартные процедуры, способствующие безопасности груза