Эксперт В.К.Ишалев

Россия готовится к принятию стандартов серии ГОСТ Р ИСО/МЭК, аутентичных международным стандартам ISO/IEC 17799 и ISO/IEC 27001:2005. В этой связи особое значение придается организованной Британским институтом стандартов (BSI) программе обучения принципам, заложенным в разработку стандарта BS7799, обе части которого в 2005 г. и были приняты Международной организацией по стандартизации как ISO/IEC 17799:2005 и ISO/IEC 27001:2005. Международный стандарт ISO/IEC 27001:2005 «Системы менеджмента информационной безопасности. Требования» разработан Международной организацией по стандартизации (ISO) и Международной электротехнической комиссией (IEC) на основе британского стандарта BS 7799. Стандарт устанавливает требования к разработке, внедрению, функционированию, мониторингу, анализу, поддержке и совершенствованию документированной системы менеджмента информационной безопасности в контексте существующих бизнес рисков организации.

Требования данного стандарта имеют общий характер и могут быть применимы ко всем организациям, независимо от их типа, размера, формы собственности. По стандарту ISO/IEC 27001:2005 проводится официальная сертификация системы управления информационной безопасностью. ISO/IEC 27001:2005 представляет собой перечень требований к системе менеджмента информационной безопасности, обязательных для сертификации. В Приложении А стандарта приведен перечень методов управления (контролов) из стандарта ISO/IEC 17799:2005 «Информационная технология - Методы защиты - Практическое руководство для управления системой защиты информации - Требования», которые организация может выбрать для уменьшения рисков информационной безопасности.

Внедрение стандарта в мире. На сегодняшний день, по данным ISMS International User Group (август 2006 года), в мире выдано 2 853 сертификата, из них 60% в Японии, 17% в Европе. Из самых известных компаний, которые уже прошли официальную сертификацию по стандарту ISO/IEC 27001:2005 (BS 7799) , можно назвать следующие: CANON, Fuji Xerox, Fujitsu, Hitachi, Mitsubishi Electric, NEC, Sony, Toshiba, Federal Reserve Bank of New York, Telecom Italia, Japan Telecom, подразделения Siemens, British Telecom, T-Mobile, Ericsson, Samsung, Hyundai, Vodafone, СMA.

Стандарт в странах СНГ. Украина – высокая заинтересованность к внедрению систем информационной безопасности проявляется со стороны банковской сферы, телекоммуникационных компаний, компаний предоставляющих консалтинговые услуги в сфере информационной безопасности и защиты. Беларусь – международный стандарт ISO/IEC 17799:2000 "Information technology and security - Code of practice for information security managment" получил официальное признание в виде предстандарта СТБ П ИСО/МЭК 17799-2000/2004 "Информационные технологии и безопасность. Правила управления информационной безопасностью", и представляет собой идентичный перевод международного стандарта. Предстандарт вводится в действие с 1 ноября 2004 года по 1 ноября 2006 года. Молдова – благодаря позиции Национального Банка, все банки с 2003 года проходят регулярную проверку на соответствие ISO 17799. Россия – на основании растущего количества предложений по обучению и сертификации на соответствие Стандарту наблюдается повышенный интерес к этому вопросу. По состоянию на август 2006 года сертифицировано 4 компании: компания CMA Small Systems AB получила сертификат соответствия стандарту BS ISO 7799-2:2002, а компании Крок инкорпорейтед, ЛУКОЙЛ-ИНФОРМ, и Luxsoft – сертификаты соответствия стандарту ISO/IEC 27001:2005. Армения – компания LLYNX BV была сертифицирована KEMA Quality BV на соответствие стандарту ISO/IEC 27001:2005.

Эксперт Г.Матвиенко

Единой такой базы нет и быть не может. Федеральное агентство по техническому регулированию и метрологии недавно опубликовало на сайте (www.gost.ru) реестр систем добровольной сертификации (опубликованы только системы, зарегистрированные с 2004 года. Системы, зарегистрированные раньше 2004 года, в эти списки не попали). В реестр попали только национальные системы сертификации, которые зарегистрированы в ФАТРИМе. А есть ещё международные, которые, безусловно, каждая по отдельности ведут свои реестры сертифицированных организаций. Кроме того, количество сертифицированных организаций с каждым годом увеличивается в геометрической прогрессии. Централизованно отследить ситуацию невозможно.

Почему сертификационные центры в основном не публикуют подобную информацию? Замалчивают и не обнародуют свои реестры в основном не очень престижные и местечковые органы по сертификации – по существу, похвастаться им нечем. Либо в этом списке немного организаций, и они сомнительные, либо сама сертификация была проведена с нарушениями, о чем могут рассказать представители сертифицированных компаний при беседе с ними. Крупные и авторитетные органы по сертификации, напротив, считают важным и полезным обнародовать на сайтах свои реестры и информацию о сертифицированных ими организациях, т.к. эта информация отражает всю важность и плюсы от сертификации, а также дает положительную оценку работе экспертов органа, каждую сертифицированную организацию они рассматривают как свое достижение совместно с руководством сертифицированной компании в повышении качества производства, либо услуг.

Эксперт А.Нестеров

Служба качества необходима в составе структуры организации для выполнения ряда функций – изначально она создается «с нуля» или на базе внутренней лаборатории или отдела ОТК (отдела стандартизации, метрологии) для выполнения большей части работ по разработки и внедрению процедур, необходимых по требованиям стандарта ИСО 9001.

Её сотрудники организуют анализ процессов, их реструктуризацию. Проводят обучение персонала, разъясняют, как надо организовывать свою деятельность по ИСО 9001, как документировать процессы, пересматривают контрольные точки, их место, значение, периодичность проведения контроля, взаимодействуют с консультантами (если таковые привлечены), организуют и выполняют внутренние проверки в подразделениях, вырабатывают корректирующие мероприятия, готовят систему к сертификации, участвуют в сертификационной проверке.

После сертификации основные направления работы службы качества: поддержание СМК в рабочем состоянии, внесение изменений (актуализация) рабочей документации Системы; проведение внутренних проверок; проведение собраний с участием руководства компании, на которых вырабатываются корректирующие действия, и проводится анализ данных о качестве, в том числе, полученных в ходе внутренних проверок; работа с претензиями и рекламациями от потребителей и заказчиков; проведение обучения и тренингов по вопросам управления качеством своей деятельности и их контроля.

Рекомендуемые квалификационные требования к менеджерам по качеству: На должность менеджера по качеству назначается лицо, имеющее высшее специальное образование и стаж работы по специальности не менее 2 лет. Менеджер по качеству должен знать: законодательные и нормативные правовые акты, методические материалы по управлению качеством продукции; системы, методы и средства технического контроля за качеством продукции; технологию производства; действующие в отрасли и на предприятии стандарты и технически условия; порядок проведения сертификации производства; правила проведения испытаний и приемки продукции; организацию учета, порядок и сроки составления отчетности о качестве продукции; опыт передовых отечественных и зарубежных предприятий по достижению высоких показателей качества продукции и организации его контроля; основы организации производства, труда и управления.

Эксперт В.Гладков

Как Вы знаете, сертификация по стандарту ИСО 9001 – дело добровольное. Поэтому, по существу, без разницы, в какой орган Вы обратитесь. Проверка и подтверждение соответствия вашей системы качества происходит в едином порядке. Другое дело – степень престижности системы сертификации, в которой прошла проверка, вес сертификата.

В нашей стране действует порядок получения права на проведение подобной проверки, описанный в ФЗ № 184 «О техническом регулировании» и осуществляется ФАТРИМом (бывший Госстандарт), где регистрируются, вносятся в единый реестр и находятся под государственным надзором системы добровольной сертификации.

Орган по сертификации должен пройти специальную процедуру аккредитации, т.е. продемонстрировать свою компетентность и способность выполнять и придерживаться правил проведении работ по сертификации систем менеджмента качества – иметь материальную и нормативную базу, аккредитованных экспертов в штате.

Стоимость рассчитывается из трудозатрат на проверку системы качества – сколько надо затратить экспертам времени на проверку документов и материалов, поданных на сертификацию, и на проверку самого предприятия, его подразделений. Проверка в среднем длится 3 дня и осуществляется группой экспертов из 3-х человек. Кроме того, проверка и анализ документов тоже занимает время эксперта. Таким образом работы по сертификации СМК оцениваются в среднем в 4-8 тыс. у.е. в зависимости от объема работ и престижности системы Сертификации.

Легитимность органа по сертификации подтверждает наличие у органа копии Свидетельства о регистрации системы сертификации в едином реестре ФАТРиМа и Свидетельства (или Аттестата) аккредитации Органа в данной системе, и наличие штатных аккредитованных в данной системе экспертов-аудиторов.

Эксперт В.Гладков

Для предотвращения рисков, связанных с сертификацией СМК на соответствие требованиям международного стандарта ISO 9000 (ГОСТ Р ИСО 9001:2001), НЭСК рекомендует:

1. Прежде чем обратиться в центр за услугами по сертификации, попробуйте собрать о нем информацию - отзывы, рекомендации, новости. Если вам заявили, что Центр работает уже несколько лет, попросите доказательства многолетней деятельности. Реальные (читай легальные и надежные) центры ведут активную просветительскую и общественную деятельность, поэтому вы достаточно быстро найдете информацию об их участии в семинарах, круглых столах и форумах. Часто можно встретить статьи, интервью и комментарии экспертов этих центров по актуальным темам.

2. Пообщайтесь с менеджерами по телефону. Культура речи, вежливость и знание экспертом полной информации о сертификации ISO 9000, а не только цены и сроков сертификации, поможет вам при выборе центра.

3. Посетите офис центра. Фиктивные фирмы не станут тратить средства на аренду и обустройство презентабельного офиса, дорогую оргтехнику и организацию рабочих мест. Сотрудники таких фирм не обременяют себя соблюдением делового этикета.

4. Обратите внимание на информационные материалы и web-сайт центра. Низкий уровень исполнения рекламной продукции, перепечатка содержания сайта с сайтов известных компаний - показатель нестабильности организации и отсутствия укомплектованного штата сотрудников.

5. Позвоните в Ростехрегулирование по тел. (495) 236-54-29 и поинтересуйтесь, зарегистрирована ли вообще и когда зарегистрирована такая система сертификации.

Эксперт А.Нестеров

Советы по качеству - эффективный инструмент для анализа и выработки корректирующих и предупреждающих мероприятий на предприятиях. Распространенное явление в организациях, где действует СМК. Происходит следующим образом - с определенной периодичностью (обычно раз в 2 месяца или в квартал) собираются руководители отделов обсудить вопросы по качеству, результаты внутренних проверок, информацию о возникновении брака, рекламаций, претензий, коллективно вырабатывают меры по предупреждению несоответствий, назначают сроки выполнения и ответственных лиц. Секретарь Совета (как правило, начальник службы качества) готовит повестку дня Совета, ведет протокол собрания, доводит его под роспись до всех присутствующих. На следующем Совете проверяется выполнение намеченных мер. Возможен Совет вне плана при возникновении существенных несоответствий. Таким образом выполняется мониторинг вопросов качества процессов и продукции, а также анализ данных о качестве со стороны руководства и улучшение деятельности. Члены Совета назначаются приказом директора, порядок проведения описывается в Положении о Совете, утверждается директором.

Эксперт А.Нестеров

 Сертификация систем менеджмента по стандартам ISO 9000 (система менеджмента качества), ISO 14000 (система экологического менеджмента) и OHSAS 18001 (система менеджмента охраны труда) во всем мире является основным показателем стабильного положения предприятия на рынке. Данная сертификация свидетельствует о том, что компанией выполняются все требования, установленные международными стандартами. Наличие сертификата соответствия - один из основных критериев выбора для потребителя. Сертификация необходима для предприятий и организаций, которые стремятся: повышать качество и безопасность своих услуг или продукции; совершенствовать систему управления и повышать свою эффективность; систематизировать управление деятельность предприятия; создавать и улучшать свой имидж; получать конкурентные преимущества при участии в международных проектах и тендерах; привлекать серьезных партнеров и инвесторов; получать заказы от зарубежных компаний.