ГОСТ Р ИСО 28002-2019 Системы менеджмента безопасности цепи поставок. Устойчивость цепи поставок. Требования и руководство по применению

     4.2 Понимание организации и ее среды

4.2.1 Организация должна определить и задокументировать внутренние и внешние факторы среды организации.

Организация должна:

a) идентифицировать факторы внешней среды организации, в том числе:

- культурные, политические, социальные, правовые, нормативные, финансовые, технологические, экономические, природные и конкурентные факторы на международном, национальном, региональном или местном уровнях;

- уровень цепи поставок, обязательства и отношения, ключевые движущие силы и тенденции, воздействующие цели организации;

- восприятие и ценности заинтересованных сторон;

b) идентифицировать факторы внутренней среды организации, в том числе:

- активы, виды деятельности, функции, услуги, продукты, партнерства, цепь поставок и отношения заинтересованных сторон;

- способности, понимаемые с точки зрения ресурсов и знаний (например, капитала, времени, людей, процессов, систем и технологий);

- информационные системы, информационные потоки и процессы принятия решений (как формальные, так и неформальные);

- внутренние заинтересованные стороны;

- политики, цели и стратегии для их достижения;

- восприятие, ценности и культура организации;

- стандарты и эталонные модели, принятые организацией;

- структуры (например, управление, обязанности и ответственность).

     Рисунок 4 - Диаграмма потоков системы менеджмента, включая политику устойчивости

4.2.2 С целью демонстрации своей приверженности процессу управления рисками и устойчивости при анализе своей среды организация должна определить и задокументировать следующие специфические внутренние и внешние факторы:

a) критические действия организации, функции, услуги, продукты, партнерства, отношения цепи поставок, заинтересованные стороны и потенциальное воздействие, связанное с разрушительным инцидентом в пределах одной или более цепей поставок;

b) компоненты сквозной цепи поставок товаров или услуг, показывающие, как они настроены или связаны для доставки критических товаров и/или услуг;

c) связь между политикой управления устойчивостью, целями организации и другими политиками;

d) обоснование необходимости процесса управления рисками и управления устойчивостью;

e) полномочия и ответственность по процессу управления рисками и устойчивости;

f) предпочтительный риск организации или неприятие риска;

g) ресурсы, доступные для помощи тем, кто обладает полномочиями и ответственностью в области процесса управления рисками и устойчивости;