Разработка и внедрение систем менеджмента ISO

Проект формируется под конкретную задачу предприятия.

Организация может внедрить одну систему либо несколько взаимосвязанных стандартов.

ISO 9001 — система менеджмента качества

Система направлена на управление процессами, требованиями клиентов, качеством продукции и услуг, рисками, показателями и постоянным улучшением.

В международной системе действует ISO 9001:2026.

В Российской Федерации продолжает действовать ГОСТ Р ИСО 9001-2015.

ISO 14001 — экологический менеджмент

Система охватывает экологические аспекты деятельности, применимые обязательства, экологические риски и возможности, цели и экологическую результативность.

Действующая международная редакция — ISO 14001:2026.

В России действует ГОСТ Р ИСО 14001-2016.

ISO 45001 — безопасность труда и охрана здоровья

Система предназначена для управления опасностями и профессиональными рисками, участия работников, предупреждения травматизма и улучшения условий труда.

Международно применяется ISO 45001:2018 с поправкой 2024 года.

В России действует ГОСТ Р ИСО 45001-2020.

ISO/IEC 27001 — информационная безопасность

Система менеджмента информационной безопасности строится на управлении информационными рисками.

Международная редакция — ISO/IEC 27001:2022.

В российской системе действует ГОСТ Р ИСО/МЭК 27001-2021.

ISO 22000 — безопасность пищевой продукции

Система объединяет управленческие процессы и работу с пищевыми опасностями на основе принципов HACCP.

Международно действует ISO 22000:2018.

В России применяется ГОСТ Р ИСО 22000-2019.

ISO 50001 — энергетический менеджмент

Система предназначена для управления использованием энергии и улучшения энергетических результатов деятельности.

Международно действует ISO 50001:2018.

В России на октябрь 2026 года действует ГОСТ Р ИСО 50001-2023.

Стандарт определяется задачей организации.

Если основная задача связана с качеством продукции, управлением процессами и требованиями заказчиков, внедряется ISO 9001.

Для системной экологической работы используется ISO 14001.

Для управления безопасностью труда — ISO 45001.

Для информационной безопасности — ISO/IEC 27001.

Для пищевой безопасности — ISO 22000.

Для управления энергопотреблением — ISO 50001.

Если предприятие одновременно решает несколько задач, системы объединяются в интегрированную систему менеджмента.

Внедрение — внутренняя работа по созданию системы.

Сертификация — независимая оценка уже внедренной системы третьей стороной.

Стандарты систем менеджмента не устанавливают универсальную папку документов, которая одинаково подходит любой организации.

Два предприятия одной отрасли могут иметь разные процессы, оборудование, поставщиков, организационную структуру, риски, площадки и требования клиентов.

Документы должны отражать фактическую деятельность.

Если инструкция описывает процесс, которого в организации нет, она не создает соответствие.

Если реальный процесс существует, но отсутствует в системе управления, организация теряет управляемость.

Проект начинается с анализа исходного состояния.

Диагностический аудит также называют gap-анализом.

Его задача — определить разрыв между фактической системой организации и требованиями стандарта.

Анализируются:

• организационная структура;
• процессы;
• действующая документация;
• ответственность;
• показатели;
• риски;
• внутренний контроль;
• требования законодательства;
• требования клиентов;
• существующие аудиты;
• действующие сертификаты;
• используемые информационные системы.

По каждому требованию определяется текущее состояние.

Результат диагностики позволяет не создавать заново процессы, которые уже работают правильно.

По результатам анализа требования можно разделить на несколько групп.

Выполняется. Процесс уже существует и соответствует требованиям.

Выполняется частично. Необходимо изменить процедуру, ответственность или свидетельства выполнения.

Не выполняется. Процесс необходимо создать и внедрить.

Формально задокументировано, но не работает. Требуется перестройка практической деятельности.

Такой подход сокращает объем ненужной разработки.

Перед разработкой документов устанавливаются границы системы.

В область могут входить:

• конкретное юридическое лицо;
• вся организация;
• отдельное подразделение;
• несколько площадок;
• определенное производство;
• конкретные услуги;
• группа компаний.

Область должна соответствовать реальным процессам.

Она влияет на объем внедрения и будущую сертификацию.

Стандарты менеджмента требуют рассматривать систему в контексте деятельности организации.

Определяются внутренние и внешние факторы, способные повлиять на достижение запланированных результатов.

Это могут быть:

• рынок;
• технологии;
• законодательство;
• кадровая ситуация;
• поставщики;
• инфраструктура;
• требования клиентов;
• природные условия;
• информационные угрозы;
• экономические факторы.

Состав факторов зависит от стандарта и бизнеса.

Контекст не должен представлять собой универсальную SWOT-таблицу, скопированную из шаблона.

Он должен объяснять реальные условия, в которых работает организация.

Организация определяет заинтересованные стороны и применимые требования.

К ним могут относиться:

• заказчики;
• сотрудники;
• собственники;
• государственные органы;
• поставщики;
• подрядчики;
• банки;
• инвесторы;
• страховые компании;
• местные сообщества;
• международные партнеры.

Не каждое пожелание заинтересованной стороны становится обязательным требованием системы.

Определяется, какие требования действительно применимы и должны учитываться.

Система строится вокруг процессов организации.

Определяются:

• входы;
• выходы;
• ответственность;
• ресурсы;
• последовательность;
• взаимодействие;
• критерии;
• показатели;
• риски;
• методы контроля.

При внедрении ISO не требуется искусственно создавать десятки процессов.

Необходимо правильно описать те процессы, которые обеспечивают деятельность предприятия.

Процессная модель должна быть понятна руководству и сотрудникам.

Карта процессов показывает структуру деятельности организации и взаимосвязь элементов системы.

Процессы можно разделить на:

• основные;
• управленческие;
• обеспечивающие.

Для производственного предприятия основными могут быть продажи, проектирование, закупки и производство.

Обеспечивающими — персонал, инфраструктура, метрология, ИТ и обслуживание оборудования.

Управленческими — стратегическое планирование, анализ системы и улучшение.

Конкретная структура определяется фактической деятельностью.

Работающая система требует однозначного распределения ответственности.

Для каждого значимого процесса определяется владелец.

Сотрудник должен понимать:

• за что он отвечает;
• какие решения принимает;
• кому передает информацию;
• какие записи создает;
• какие показатели контролирует.

Руководство не может полностью передать ответственность консультанту или профильному специалисту.

Высшее руководство определяет направление системы, обеспечивает ресурсы и оценивает результаты.

В ходе внедрения необходимо обеспечить:

• понимание целей;
• распределение ответственности;
• интеграцию требований ISO в бизнес-процессы;
• поддержку сотрудников;
• предоставление ресурсов;
• анализ результативности.

Политика отражает направление организации и обязательства, установленные соответствующим стандартом.

Она должна соответствовать деятельности предприятия.

Политика становится основой для целей.

Для интегрированной системы может использоваться одна политика, охватывающая несколько направлений.

Текст должен быть понятен сотрудникам и соответствовать реальным решениям руководства.

Цели переводят политику в измеримые задачи.

Для целей определяются:

• показатель;
• исходное состояние;
• требуемый результат;
• ответственный;
• срок;
• необходимые ресурсы;
• способ контроля.

Цели формируются применительно к конкретному стандарту и бизнес-процессам.

Риск-ориентированный подход является общим элементом современных систем менеджмента.

Организация определяет события и условия, способные повлиять на результаты.

При этом предмет оценки зависит от стандарта.

• Для ISO 9001 рассматриваются риски качества и процессов.
• Для ISO 14001 отдельно оцениваются экологические аспекты и обязательства.
• Для ISO 45001 — опасности и профессиональные риски.
• Для ISO/IEC 27001 — риски информационной безопасности.
• Для ISO 22000 — опасности безопасности пищевой продукции.
• Для ISO 50001 — факторы, влияющие на энергетические результаты.

Внедрение ISO не заменяет законодательство.

Наоборот, система должна обеспечивать выявление и выполнение применимых обязательных требований.

Их состав зависит от направления.

Для охраны труда используются требования трудового законодательства.

Для экологического менеджмента — природоохранное регулирование.

Для информационной безопасности — требования к защите информации и персональных данных.

Для пищевой безопасности — технические регламенты и санитарные требования.

Для энергетического менеджмента — применимое законодательство об энергосбережении.

В систему включается механизм отслеживания изменений и оценки выполнения требований.

Документированная информация создается в объеме, необходимом для эффективной работы системы.

Формат может быть разным:

• регламент;
• процедура;
• инструкция;
• электронный бизнес-процесс;
• таблица;
• карточка процесса;
• форма записи;
• реестр;
• схема;
• запись в корпоративной информационной системе.

Состав зависит от стандарта, но общая часть может включать:

• область системы;
• политику;
• цели;
• карту процессов;
• распределение ответственности;
• реестры требований;
• управление рисками и возможностями;
• управление документированной информацией;
• порядок внутренних аудитов;
• управление несоответствиями;
• корректирующие действия;
• анализ со стороны руководства.

Дополнительно создаются специализированные документы.

Для ISO 14001 это документы по экологическим аспектам.

Для ISO 45001 — материалы по опасностям и профессиональным рискам.

Для ISO/IEC 27001 — оценка рисков информационной безопасности и Statement of Applicability.

Для ISO 22000 — анализ пищевых опасностей и план управления ими.

Для ISO 50001 — энергетический анализ, EnPI и EnB.

Фиксированного количества документов нет.

Современные стандарты используют термин «документированная информация».

Организация сохраняет информацию, прямо требуемую стандартом, и дополнительную информацию, необходимую для результативности процессов.

Количество документов зависит от:

• размера предприятия;
• сложности процессов;
• компетентности сотрудников;
• уровня автоматизации;
• отрасли;
• рисков;
• применимого законодательства.

Для работы с документацией применяется ГОСТ Р ИСО 10013-2024 «Системы менеджмента качества. Руководство по документированной информации».

Стандарт действует с 1 января 2025 года.

Он содержит руководящие указания по разработке и поддержанию документированной информации, необходимой для результативной системы менеджмента.

Подход может использоваться не только для менеджмента качества, но и для других систем менеджмента.

Это особенно важно при построении интегрированной системы, где избыточное дублирование документов должно устраняться.

Разработка документа и его внедрение — разные действия.

Документ становится частью системы только тогда, когда:

• ответственное лицо его знает;
• процесс выполняется установленным способом;
• необходимые данные фиксируются;
• отклонения обрабатываются;
• записи можно предъявить при аудите.

Обучение проводится в объеме, соответствующем функции сотрудника.

Высшему руководству необходимо понимать цели системы и свою ответственность.

Владельцам процессов — требования к управляемым процессам и показателям.

Внутренним аудиторам — принципы и методы аудита.

Сотрудникам — требования, влияющие на их непосредственную работу.

Не требуется превращать каждого работника в специалиста по тексту стандарта.

Ему необходимо правильно выполнять свою часть системы.

Стандарты требуют не просто провести обучение, а обеспечить необходимую компетентность.

Она может формироваться через:

• образование;
• опыт;
• наставничество;
• обучение;
• практическую подготовку.

Организация определяет требуемую компетентность и сохраняет применимые свидетельства.

После обучения оценивается способность сотрудника выполнять необходимые действия.

Для действующего предприятия не требуется разрушать существующую систему управления.

Сначала определяется, какие процессы уже соответствуют стандарту.

Работающие практики сохраняются.

Изменяются только те элементы, где существуют реальные разрывы.

При создании новой системы работа начинается с построения архитектуры процессов.

Определяются:

1. область;
2. контекст;
3. заинтересованные стороны;
4. процессы;
5. ответственность;
6. требования;
7. риски;
8. показатели;
9. документированная информация;
10. методы контроля.

После разработки система запускается в работу.

Следующий этап — накопление свидетельств функционирования.

Только после этого проводится внутренний аудит и анализ руководством.

Система может быть формально внедрена несколько лет назад и перестать соответствовать реальной деятельности.

Причинами становятся:

• новая организационная структура;
• изменение продукции;
• новые площадки;
• цифровизация процессов;
• смена поставщиков;
• новое оборудование;
• изменение законодательства;
• новая редакция стандарта.

В таком случае проводится повторный gap-анализ.

Документы, которые больше не соответствуют процессам, пересматриваются.

Устаревшие требования исключаются.

В 2026 году вопрос особенно актуален для ISO 9001 и ISO 14001.

Опубликованы новые международные редакции ISO 9001:2026 и ISO 14001:2026.

Организация с системой по предыдущей международной редакции проводит анализ изменений.

Проект перехода включает:

• gap-анализ;
• изменение необходимых процессов;
• актуализацию документации;
• обучение ответственных сотрудников;
• внутреннюю проверку;
• подготовку к переходному аудиту.

Перед началом проекта определяется нормативный документ.

На октябрь 2026 года международные и российские версии ряда стандартов различаются по году.

Если организация планирует два и более стандарта, общие процессы создаются один раз.

В интегрированной системе объединяются:

• управление документами;
• компетентность;
• внутренние аудиты;
• корректирующие действия;
• анализ руководством;
• управление изменениями;
• общая архитектура целей;
• ряд процессов работы с рисками.

Специализированные требования сохраняются отдельно.

Такой подход позволяет сразу строить одну систему вместо нескольких параллельных.

ISO не требует вести документы только в бумажной форме.

Система может работать внутри:

• CRM;
• ERP;
• BPM;
• электронного документооборота;
• корпоративного портала;
• специализированной системы управления качеством;
• защищенных электронных таблиц.

Главное — обеспечить управление информацией, доступность актуальной версии, ответственность и сохранность необходимых записей.

При внедрении используется уже существующая цифровая инфраструктура организации там, где она обеспечивает выполнение требований системы.

После разработки процессов начинается практическое внедрение.

Сотрудники начинают:

• работать по установленным правилам;
• собирать данные;
• использовать формы;
• контролировать показатели;
• фиксировать несоответствия;
• выполнять корректирующие действия.

На этом этапе выявляются ошибки первоначального проектирования.

Часть документов корректируется под фактическую работу.

Система должна адаптироваться к организации, сохраняя выполнение требований стандарта.

Универсального количества месяцев, одинакового для всех стандартов и организаций, нет.

Но к моменту сертификационной оценки должны существовать объективные свидетельства работы системы.

Необходимо показать, что процессы не были разработаны накануне аудита.

В системе должны появиться применимые записи, показатели и результаты контроля.

Внутренний аудит проверяет систему до независимой сертификационной оценки.

Он отвечает на вопросы:

• выполняется ли стандарт;
• выполняются ли собственные правила компании;
• соответствуют ли документы фактической работе;
• работают ли процессы;
• достигаются ли запланированные результаты;
• существуют ли несоответствия.

На международном уровне для организации аудитов действует ISO 19011:2026 Guidelines for auditing management systems.

Он устанавливает руководство по принципам аудита, управлению программой аудитов, проведению проверок и оценке компетентности аудиторов.

ISO 19011 не является стандартом, по которому организация получает сертификат.

Он используется как методическая основа для построения качественной программы внутренних аудитов.

В российской системе действует ГОСТ Р ИСО 19011-2021.

После того как система начала функционировать, руководство оценивает ее состояние.

Анализируются:

• результаты аудитов;
• показатели;
• достижение целей;
• обратная связь;
• несоответствия;
• корректирующие действия;
• изменения контекста;
• требования заинтересованных сторон;
• потребность в ресурсах;
• возможности улучшения.

Результатом анализа являются решения.

В ходе внедрения неизбежно обнаруживаются отклонения.

Главная задача — не скрыть их, а устранить причину.

Организация:

1. реагирует на несоответствие;
2. оценивает последствия;
3. определяет причину;
4. устанавливает необходимость корректирующего действия;
5. выполняет действие;
6. оценивает его результативность.

Перед независимой сертификацией может выполняться дополнительная проверка готовности.

Она позволяет оценить:

• закрыты ли выявленные разрывы;
• работает ли документация;
• имеются ли записи;
• знают ли сотрудники свои функции;
• выполнен ли внутренний аудит;
• проведен ли анализ руководством;
• устранены ли критические несоответствия.

Предсертификационная проверка не заменяет официальный аудит органа по сертификации.

Независимую сертификационную оценку проводит орган по сертификации систем менеджмента.

ISO/IEC 17021-1 устанавливает требования к компетентности, последовательности деятельности и беспристрастности таких органов.

В российской системе с 1 сентября 2026 года действует ГОСТ Р ИСО/МЭК 17021-1-2025.

Результат проекта зависит от выбранного стандарта, но предприятие получает не только документацию.

К завершению внедрения должны быть сформированы:

• архитектура системы;
• работающие процессы;
• распределенная ответственность;
• применимая документация;
• показатели;
• методы контроля;
• система управления рисками;
• обученный персонал;
• записи о работе процессов;
• внутренний аудит;
• анализ руководством;
• механизм корректирующих действий.

Организация получает систему, которой можно управлять после завершения проекта.

В зависимости от задачи итоговый комплект включает разработанные документы, формы записей, реестры, карты процессов, методики и иные материалы системы.

Количество и состав зависят от выбранного стандарта.

Дополнительно передаются результаты диагностики и внутренней проверки в объеме проекта.

Ключевая задача — чтобы материалы оставались рабочими после завершения консультационного сопровождения.

Стоимость определяется индивидуально.

Срок зависит от размера и готовности организации.

Небольшая компания с простыми процессами внедряет систему быстрее, чем многофилиальное производство со сложной нормативной средой.

На продолжительность влияют:

• количество стандартов;
• численность;
• количество площадок;
• сложность процессов;
• качество исходных документов;
• участие руководства;
• скорость предоставления информации;
• необходимость обучения;
• объем внедряемых изменений.

Значительная часть проекта может выполняться дистанционно.

В электронном виде анализируются документы, проводятся интервью, совещания, обучение и согласование процессов.

Дистанционный формат особенно эффективен для организаций с хорошо описанными цифровыми процессами.

Для производства, сложной инфраструктуры и процессов, которые невозможно полноценно оценить по документам, используется выезд.

Формат проекта определяется исходной ситуацией.

Внедрение невозможно полностью выполнить за организацию без ее участия.

Со стороны заказчика необходимо:

• предоставить достоверную информацию;
• назначить ответственных;
• обеспечить участие руководителей процессов;
• согласовать документы;
• внедрять принятые решения;
• собирать записи;
• устранять выявленные проблемы.

Копирование чужой документации

Документы не соответствуют фактическим процессам.

Избыточная бюрократия

Для простого процесса создается несколько форм и согласований, которые сотрудники перестают выполнять.

Ответственность одного человека

Вся система существует только у специалиста по ISO и не встроена в деятельность руководителей процессов.

Подмена внедрения сертификатом

Организация пытается сначала получить документ, а систему создать позже.

Отсутствие измеримых показателей

Руководство не может определить, работает ли система.

Формальный внутренний аудит

Аудит не выявляет проблем и не создает оснований для улучшения.

Отсутствие актуализации

Документы продолжают описывать процессы, которые давно изменились.

Система работает, если сотрудники выполняют установленные процессы без постоянного участия консультанта.

Руководители используют показатели для принятия решений.

Риски обновляются при изменениях.

Несоответствия регистрируются и анализируются.

Документы соответствуют реальной практике.

Внутренние аудиты выявляют не только ошибки оформления, но и проблемы процессов.

Руководство регулярно получает данные о результативности.

После запуска система должна поддерживаться в актуальном состоянии.

Организация продолжает:

• анализировать показатели;
• проводить внутренние аудиты;
• актуализировать риски;
• контролировать законодательные изменения;
• анализировать несоответствия;
• обучать новых сотрудников;
• проводить анализ руководством;
• изменять документы при изменении процессов.

Система менеджмента не является проектом, который завершается в момент получения сертификата.

Она функционирует постоянно.

Основаниями для пересмотра становятся:

• изменение законодательства;
• новая редакция стандарта;
• новое оборудование;
• изменение технологии;
• новая продукция;
• реорганизация;
• открытие площадки;
• значимое изменение поставщиков;
• серьезное несоответствие;
• инцидент;
• изменение требований заказчиков.

Изменения оцениваются до или непосредственно после их внедрения в зависимости от характера процесса.

Проект начинается с определения задачи организации.

Специалист уточняет:

• требуемый стандарт;
• цель внедрения;
• требования заказчиков;
• виды деятельности;
• организационную структуру;
• численность;
• количество площадок;
• действующие документы;
• существующие сертификаты;
• состояние внутренних процессов;
• сроки будущей сертификации.

После этого проводится анализ исходного состояния.

Работающие процессы сохраняются.

Разрывы закрываются путем изменения процессов, распределения ответственности, разработки необходимой документированной информации и обучения персонала.

После запуска системы накапливаются свидетельства ее функционирования.

Проводится внутренний аудит.

Руководство выполняет анализ системы.

Выявленные несоответствия устраняются.

После этого организация готова к независимому сертификационному аудиту.