Основні стандарти ISO для бізнесу: інженерна матриця вибору сертифікації для 18 галузей, архітектура Annex SL та впровадження під ключ

Коли власник виробничого заводу, комерційний директор агрохолдингу або керівник інжинірингової компанії відкриває каталог Міжнародної організації зі стандартизації, цифра у понад 25 000 опублікованих стандартів часто викликає ступор. Який документ дійсно відкриє двері до європейського тендеру, а який залишиться дорогою папкою на полиці? Коротка відповідь з нашої інженерної практики: понад 95% нормативних документів стосуються суто технічних методів випробувань металів, різьбових з'єднань або лабораторних калібрувань. Комерційну долю підприємства вирішують основні стандарти ISO для бізнесу класу MSS (Management System Standards), а також вузька група галузевих схем, які прив'язані до контрактних вимог покупців.

Помилка у виборі стандарту на старті коштує компанії від 6 до 9 місяців втраченого експортного сезону. Уявіть реальну ситуацію: український виробник кондитерських виробів або гнучкої полімерної упаковки витрачає пів року на сертифікацію базової системи ISO 22000, виходить на переговори з німецькою чи польською роздрібною мережею щодо випуску продукції під власною торговою маркою (Private Label) і отримує миттєву відмову. Чому? Тому що європейський рітейл вимагає виключно схему, визнану Глобальною ініціативою з безпечності харчових продуктів (GFSI), таку як FSSC 22000, IFS або BRCGS. Аналогічно, елеватор із бездоганним сертифікатом ISO 9001 не зможе продати жодної тонни ріпаку чи кукурудзи переробникам біопалива в ЄС без сертифіката сталості ISCC або KZR INiG.

Законодавче поле України та міжнародна вертикаль акредитації (НААУ, EA MLA, IAF CertSearch, ILAC)

Перш ніж обирати стандарт, керівнику варто розібратися, чим легітимний міжнародний сертифікат відрізняється від неофіційного «бланка за три дні». В Україні правові засади технічного регулювання, добровільної та обов'язкової оцінки відповідності, а також статус акредитованих органів сертифікації визначає Закон України № 124-VIII «Про технічні регламенти та оцінку відповідності». Національні стандарти серії ДСТУ ISO (наприклад, ДСТУ ISO 9001:2015, ДСТУ ISO 14001:2015, ДСТУ ISO 45001:2019, ДСТУ ISO/IEC 27001:2023) приймаються методом ідентичного перекладу міжнародних оригіналів.

Сама Міжнародна організація зі стандартизації ніколи не проводить аудитів і не видає сертифікатів підприємствам. Оцінку відповідності виконують незалежні органи сертифікації (3-тя сторона за класифікацією ДСТУ ISO 19011). Щоб виданий сертифікат мав юридичну силу в тендерах Prozorro, контрактах Європейського Союзу та банківському комплаєнсі ЄБРР, орган сертифікації зобов'язаний мати чинний атестат акредитації за стандартом ДСТУ EN ISO/IEC 17021-1 (для систем менеджменту) або ISO/IEC 17065 (для сертифікації продукції та процесів).

В Україні єдиним державним органом, уповноваженим акредитувати органи сертифікації та випробувальні лабораторії, є Національне агентство з акредитації України (НААУ). НААУ є повноправним підписантом Багатосторонньої угоди про взаємне визнання з Європейською кооперацією з акредитації (EA MLA). На практиці статус підписанта EA MLA означає, що сертифікат системи управління, виданий акредитованим у НААУ органом у межах його затвердженої сфери акредитації (кодів КВЕД / IAF NACE), автоматично визнається еквівалентним сертифікатам німецького DAkkS, британського UKAS або польського PCA. Перевірити чинність акредитованих сертифікатів систем менеджменту світові закупівники можуть у єдиному глобальному реєстрі Міжнародного форуму з акредитації IAF CertSearch, тоді як взаємне визнання протоколів випробувань акредитованих лабораторій за стандартом ISO/IEC 17025 забезпечується угодою ILAC MRA (International Laboratory Accreditation Cooperation).

Гармонізована структура Annex SL (Harmonized Structure) та кліматичні зміни 2024-2026 років

Якщо ваше підприємство планує впровадження стандартів ISO під ключ одразу за кількома напрямами (наприклад, якість, екологія та охорона праці), вам не доведеться будувати три різні бюрократичні системи. Усі сучасні стандарти ISO на системи менеджменту побудовані за єдиним інженерним шаблоном Annex SL (з 2021 року офіційно названим Harmonized Structure, або скорочено HS). Кожен такий стандарт складається з 10 ідентичних розділів:

• Розділи 1-3 (Загальні положення): Сфера застосування (1), Нормативні посилання (2) та Терміни і визначення (3).
• Розділ 4 (Контекст організації): аналіз зовнішніх і внутрішніх чинників середовища (п. 4.1), потреб та очікувань зацікавлених сторін (п. 4.2), визначення фізичних та організаційних меж сфери застосування системи (п. 4.3) і побудова процесної моделі підприємства (п. 4.4). Важливий інженерний нюанс: згідно з офіційною поправкою ISO Climate Action Amendment (Amd 1:2024), до пунктів 4.1 та 4.2 усіх чинних стандартів систем менеджменту внесено обов'язкову вимогу оцінювати, чи є зміна клімату (декарбонізація, екстремальні погодні явища, вимоги CBAM та клієнтські ESG-зобов'язання) релевантним чинником для організації.
• Розділ 5 (Лідерство): особиста відповідальність вищого керівництва (п. 5.1), затвердження Політики (п. 5.2), розподіл ролей, відповідальності та повноважень у штатному розписі (п. 5.3).
• Розділ 6 (Планування): ризик-орієнтоване мислення, оцінювання ризиків та можливостей (п. 6.1), встановлення вимірних оцифрованих цілей (KPI) і програм їх досягнення (п. 6.2), планування організаційних і технічних змін (п. 6.3).
• Розділ 7 (Підтримка та ресурси): людські ресурси, виробнича інфраструктура, метрологічне забезпечення засобів вимірювальної техніки (п. 7.1), матриця компетентності та навчання персоналу (п. 7.2), обізнаність (п. 7.3), внутрішні та зовнішні комунікації (п. 7.4) та управління задокументованою інформацією (п. 7.5).
• Розділ 8 (Операційна діяльність): єдиний розділ, де зосереджена унікальна галузева інженерія кожного стандарту (від технологічних карт контролю якості та планів HACCP до блокування енергії LOTO та захисту криптографічних ключів).
• Розділ 9 (Оцінювання результативності): моніторинг, вимірювання та аналіз показників (п. 9.1), програма незалежних внутрішніх аудитів за ДСТУ ISO 19011 (п. 9.2) та періодичний аналіз системи з боку вищого керівництва, або Management Review (п. 9.3).
• Розділ 10 (Поліпшення): управління невідповідностями, аналіз кореневих причин і коригувальні дії CAPA (п. 10.2), а також безперервне вдосконалення системи (п. 10.3).

Завдяки такій уніфікації фахівці компанії Еконтроль під час проєктування інтегрованих систем менеджменту об'єднують до 70% загальносистемних процедур (документообіг, навчання, внутрішні аудити, Management Review, реєстр CAPA) в одне спільне ядро. Нижче ми детально розберемо всі чотири індустріальні кластери стандартів, щоб ви могли точно визначити цільовий набір сертифікатів для своєї галузі.

Перший кластер утворюють чотири універсальні стандарти, які формують фундамент операційної стійкості будь-якого промислового, будівельного, логістичного чи сервісного підприємства. У міжнародній тендерній практиці тріаду якості, екології та безпеки праці називають системою QHSE (Quality, Health, Safety, Environment), а для енергоємних виробництв її доповнюють стандартом енергоменеджменту.

1. ISO 9001 (ДСТУ ISO 9001:2015): система управління якістю (СУЯ / QMS)

Стандарт ISO 9001 утримує першість у світі (понад 1,1 млн чинних сертифікатів за даними реєстру IAF CertSearch), тому що він встановлює інженерну дисципліну виконання контрактних зобов'язань перед замовником. На відміну від технічних умов (ТУ) або ДСТУ на конкретний виріб, ISO 9001 сертифікує здатність підприємства стабільно випускати продукцію без дефектів і зривів термінів постачання (OTIF).

Під час підготовки до сертифікації ISO 9001 інженерна робота концентрується на п'яти вузлах:

• Процесна модель (п. 4.4): кожен бізнес-процес отримує чіткі входи, виходи, власника процесу, ресурси та критерії результативності (KPI), замість розмитих посадових інструкцій.
• Метрологічна простежуваність (п. 7.1.5): усе вимірювальне та контрольно-випробувальне обладнання (від мікрометрів і тензодатчиків ваг до термопар печей) проходить регулярне калібрування або повірку із захистом від несанкціонованого розрегулювання.
• Контроль проєктування та змін (п. 8.3 та 8.5.6): верифікація та валідація конструкторської чи технологічної документації перед запуском у серію.
• Кваліфікація постачальників (п. 8.4) та валідація спеціальних процесів (п. 8.5.1 f): жорсткий вхідний контроль сировини та атестація процесів, де неможливо перевірити якість готового виробу без його руйнування (зварювання, термообробка, гальваніка, нанесення захисних покриттів).
• Ізоляція невідповідної продукції та CAPA (п. 8.7 та 10.2): фізичне або програмне в ERP блокування бракованих партій і усунення кореневих причин дефектів за методиками 5 Whys або діаграми Ісікави. Детальний покроковий розбір читайте у нашому повному посібнику з ISO 9001.

2. ISO 14001 (ДСТУ ISO 14001:2015 та перегляд 2026 року): система екологічного менеджменту (СЕМ / EMS)

Стандарт ISO 14001 переводить екологічну службу підприємства з режиму пасивного збору паперових дозволів у системний інженерний контроль впливу на довкілля. З огляду на перегляд стандарту 2026 року (який посилює вимоги щодо адаптації до зміни клімату, збереження біорізноманіття та циркулярної економіки; див. наш план переходу на ISO 14001:2026), європейські імпортери та міжнародні фінансові донори (ЄБРР, ЄІБ, Світовий банк, програма Ukraine Facility з принципом DNSH) розглядають ISO 14001 як обов'язковий фільтр прекваліфікації.

Інженерним ядром впровадження ISO 14001 є підрозділ 6.1.2 «Екологічні аспекти»: компанія ідентифікує та проводить бальне ранжування всіх взаємодій із довкіллям (викиди в атмосферу, скиди стічних вод, утворення небезпечних відходів, споживання води й енергії, забруднення ґрунтів) у трьох режимах роботи: штатному, нештатному (пуск/зупинка ліній, чищення фільтрів, робота від дизель-генераторів) та аварійному. При цьому розділ 8.1 вимагає застосовувати перспективу життєвого циклу (Life Cycle Perspective), контролюючи екологічні критерії від закупівлі хімікатів і тари до утилізації продукції споживачем, а розділ 8.2 зобов'язує облаштувати склади ПММ та реагентів захисними піддонами локалізації проливів (bunding на 110% об'єму) і комплектами сорбентів (Spill Kits).

3. ISO 45001 (ДСТУ ISO 45001:2019): система управління гігієною та безпекою праці (СУОП / OH&SMS)

Міжнародний стандарт ISO 45001, який замінив старий OHSAS 18001 (детальне порівняння дивіться у статті OHSAS 18001 vs ISO 45001), будує превентивний інженерний захист персоналу та підрядників на будівельних і виробничих майданчиках. На відміну від формальних журналів інструктажів, ISO 45001 базується на трьох жорстких вимогах:

1. Картування небезпек та оцінка професійних ризиків за робочими місцями (п. 6.1.2): аналіз фізичних, механічних, хімічних, електричних, висотних, ергономічних і психосоціальних чинників до того, як станеться інцидент.
2. Ієрархія заходів контролю (Hierarchy of Controls, п. 8.1.2): аудитор не прийме систему, де єдиним заходом безпеки є «видати робітникові каску і провести позаплановий інструктаж». Стандарт вимагає послідовно застосовувати п'ять рівнів захисту (ERICPD): 1) фізичне усунення небезпеки; 2) заміна небезпечного процесу чи токсичної речовини на безпечну; 3) інженерні бар'єри (захисні світлові завіси, кінцеві вимикачі блокування кожухів, місцева аспірація, огородження); 4) адміністративний контроль (наряди-допуски на роботи підвищеної небезпеки Permit-to-Work, фізичне блокування джерел енергії під час ремонту LOTO: Lockout/Tagout); і лише на 5-му рівні 5) засоби індивідуального захисту (ЗІЗ / PPE).
3. Обов'язкове консультування та участь некерівних працівників (п. 5.4): залучення самих операторів і слюсарів до оцінки ризиків, вибору ЗІЗ та розслідування передумов нещасних випадків (Near Miss).

4. ISO 50001 (ДСТУ ISO 50001:2020): система енергетичного менеджменту (EnMS)

Для підприємств із високою часткою енергоносіїв у собівартості (металургія, елеватори, олійноекстракційні заводи, холод-логістика, склозаводи, водоканали, машинобудування) сертифікація ISO 50001 дає подвійну вигоду. По-перше, за статтею 9 Закону України «Про енергетичну ефективність» № 1818-IX сертифікована система ISO 50001 (або ISO 14001) офіційно звільняє великі підприємства від обов'язкового платного енергоаудиту кожні 4 роки і відкриває доступ до грантів Фонду декарбонізації та програм ЄБРР. По-друге, розділ 6 стандарту вимагає виділити Суттєві сфери енергоспоживання (SEU), оцифрувати Енергетичну базову лінію (EnB) з математичною нормалізацією за релевантними змінними (обсяг випуску в тоннах, вологість сировини, градусо-доби опалення HDD та охолодження CDD) і щомісяця контролювати питомі Показники енергетичної результативності (EnPI) у кВт-год/т або м3 газу/т, що скорочує енерговитрати на 7-15% без капітальної заміни ліній.

У харчовій та агропромисловій галузі діє дев'ять взаємопов'язаних стандартів і схем сертифікації. Неправильний вибір між ними є найпоширенішою причиною, чому український переробник або виробник тари не проходить кваліфікацію у закордонного дистриб'ютора. Розглянемо ієрархію цих стандартів від базової законодавчої вимоги до преміальних ринкових схем.

1. Законодавчий фундамент HACCP та міжнародний стандарт ISO 22000:2018

Система HACCP (Hazard Analysis and Critical Control Points, аналіз небезпечних чинників та критичні контрольні точки за Кодексом Аліментаріус) в Україні є не добровільною опцією, а прямою імперативною вимогою Закону України № 771/97-ВР та Наказу Мінагрополітики № 590 для всіх операторів ринку харчових продуктів (від фермерських господарств і пекарень до складів, перевізників та закладів HoReCa). Впровадження HACCP охоплює базові програми-передумови (PRP: зонування цехів, санітарна обробка, боротьба зі шкідниками Pest Control, контроль здоров'я та гігієни персоналу, якість води) та 7 принципів контролю біологічних, хімічних, фізичних і алергенних небезпек.

Проте сам по собі HACCP не є міжнародним стандартом на систему менеджменту, на який видається акредитований за ISO/IEC 17021-1 сертифікат. Саме тому компанії переходять до стандарту ISO 22000 (ДСТУ ISO 22000:2019). Побудований на структурі Annex SL, ISO 22000:2018 поєднує принципи HACCP із повноцінною управлінською системою через подвійний цикл PDCA (організаційний контур у розділах 4-7, 9-10 та операційний контур харчової безпеки у розділі 8) і чітко розмежовує три рівні інженерних бар'єрів: базові програми-передумови (PRP), операційні програми-передумови (OPRP з критеріями дії) та критичні контрольні точки (CCP з жорсткими вимірними критичними межами, наприклад, пастеризація або металодетектор).

2. Схеми, визнані GFSI: FSSC 22000 (Версія 6), BRCGS та IFS

Чому ж глобальні корпорації (Nestle, Mondelez, PepsiCo, Danone) та європейські супермаркети не приймають звичайний сертифікат ISO 22000? Річ у тім, що в ISO 22000 вимоги до інфраструктури цехів (п. 8.2) прописані лише загальними фразами, тому стандарт не входить до переліку схем, визнаних Глобальною ініціативою з безпечності харчових продуктів (GFSI). Для виходу у великий європейський та світовий рітейл потрібна одна з трьох GFSI-визнаних схем:

• FSSC 22000 (FSSC 22000 Version 6): трикомпонентна схема сертифікації, яка об'єднує: 1) стандарт управління ISO 22000:2018 + 2) галузеву технічну специфікацію до інфраструктури та гігієни ISO/TS 22002-1 (для виробництва харчових продуктів), ISO/TS 22002-4 (для виробництва харчової упаковки) або ISO/TS 22002-6 (для кормів) + 3) 17 Додаткових вимог FSSC 22000 (п. 2.5.1-2.5.17). До цих додаткових модулів входять захист продукту від умисного саботажу (Food Defense / TACCP), запобігання економічній фальсифікації сировини (Food Fraud / VACCP), управління алергенами з валідацією миття, програма екологічного моніторингу патогенів Listeria monocytogenes та Salmonella за Зонами 1-4 (EMP), культура безпечності та якості, управління гігієнічним дизайном обладнання та скорочення харчових втрат. Завдяки основі Annex SL схема FSSC 22000 ідеально підходить для виробників інгредієнтів, олії, молочної продукції, напоїв і пакування, а тим, хто вже має ISO 22000, легко виконати апгрейд (детальніше у нашому порівнянні ISO 22000 чи FSSC 22000).
• BRCGS (BRCGS Food Safety Issue 9 та BRCGS Packaging Materials): британський стандарт із максимально деталізованими вимогами до виробничих ліній, кольорового зонування (High-Risk / High-Care / Ambient High-Care), контролю скла й крихкого пластику, рентген- та металодетекції й буквеною системою оцінювання аудиту (грейди AA, A, B, C, D). Це обов'язковий стандарт для постачальників роздрібних мереж Великої Британії, Скандинавії, США та Канади (Tesco, ASDA, Marks & Spencer, Walmart).
• IFS (IFS Food Version 8 та IFS Logistics): франко-німецько-італійський стандарт, за яким працюють європейські мережі Lidl, Kaufland, ALDI, Rewe, Edeka, Metro, Carrefour та Auchan. IFS використовує бальну шкалу у відсотках (Foundation Level та Higher Level >= 95%) і містить 10 критичних вимог Knock-Out (KO): невиконання хоча б однієї KO-вимоги на аудиті автоматично блокує видачу сертифіката. Якщо ваш завод виробляє продукцію під Private Label для супермаркетів Німеччини, Польщі чи Франції, замовник у 90% випадків поставить у контракт саме IFS Food або BRCGS.

3. Первинне агровиробництво, корми та релігійна відповідність: GLOBALG.A.P., GMP+, Halal і Kosher

Для повного охоплення агропродовольчого ланцюга використовуються ще чотири спеціалізовані стандарти:

• GLOBALG.A.P. (Integrated Farm Assurance IFA v6): стандарт належної сільськогосподарської практики до воріт ферми (pre-farm gate). Обов'язковий для українських садівників (яблука, черешня), ягідних кооперативів (лохина, малина), тепличних комбінатів та овочівників, які постачають свіжу продукцію в мережі ЄС. Контролює інтегрований захист рослин (IPM), суворе дотримання залишкових рівнів пестицидів (MRLs), простежуваність ділянок, зрошення та соціальний модуль захисту працівників GRASP.
• GMP+ (Feed Safety Assurance / FSA): безальтернативний міжнародний стандарт для виробників комбікормів, кормових добавок, преміксів, олійноекстракційних заводів (експорт соняшникового, соєвого та ріпакового шроту й макухи на кормові цілі до ЄС), а також автомобільних, річкових і морських перевізників кормових вантажів. Вимоги GMP+ включають жорсткий контроль небажаних домішок (діоксинів, важких металів, афлатоксинів B1, пестицидів, сальмонели), перевірку попереднього вантажу кузовів/трюмів за базою IDTF (International Database Transport for Feed) та систему раннього оповіщення EWS.
• Halal та Kosher: стандарти релігійного комплаєнсу, без яких неможливий експорт м'яса птиці, яловичини, сухого молока, сироватки, вершкового масла, соняшникової олії, кондитерських виробів та харчових інгредієнтів на високомаржинальні ринки Близького Сходу (ОАЕ, Саудівська Аравія, Катар), Північної Африки, Південно-Східної Азії (Індонезія, Малайзія), Ізраїлю та спеціалізованих мереж США. Детальні вимоги до інтеграції халяльних та кошерних протоколів очищення ліній у систему ХАСП ми розглянули у статті про сертифікацію Halal у 2026 році.

Третій стратегічний кластер сертифікації стосується українського агроекспорту (ріпак, кукурудза, соя, соняшник), олійноекстракційних заводів, виробників біоетанолу, біодизелю, біометану, деревних пелет, а також переробників вторинних полімерів і хімічної сировини. Постачання цієї продукції до Європейського Союзу регулюється оновленою Директивою ЄС про відновлювану енергетику RED III (Directive (EU) 2023/2413, що оновила RED II 2018/2001). Європейський переробник або трейдер має право зарахувати українську агросировину чи біопаливо у виконання обов'язкових квот декарбонізації ЄС лише за умови, що весь ланцюг постачання (від фермерського поля й першого елеватора до портового термінала та заводу) сертифікований за однією з добровільних схем, офіційно визнаних Європейською Комісією.

Кожна з чотирьох ключових схем цього кластера базується на трьох незмінних інженерних вимогах: 1) Захист земель із високим запасом вуглецю та біорізноманіттям (заборона вирощування біомаси на землях, які після контрольної дати 1 січня 2008 року були лісами, торфовищами, водно-болотними угіддями або природними заповідниками, що перевіряється супутниковим моніторингом полігонів полів у форматі SHP/KML); 2) Система балансу мас (Mass Balance) (строгий матеріальний облік приходу, переробки з коефіцієнтом конверсії та відвантаження сертифікованих партій у межах 3-місячного або 12-місячного періоду з оформленням Декларацій сталості - Sustainability Declarations); 3) Розрахунок скорочення викидів парникових газів (GHG Emissions) за життєвим циклом від вирощування (добрива, дизель, насіння), сушіння на елеваторі та логістики до кінцевої переробки у $\text{г CO}_2\text{-екв/МДж}$ або $\text{кг CO}_2\text{-екв/т}$.

Порівняння чотирьох схем RED III для українського бізнесу

• ISCC (ISCC EU та ISCC PLUS): наймасштабніша у світі система сертифікації сталості та вуглецю. ISCC EU застосовується для експорту агрокультур (ріпаку, кукурудзи, сої), відходів і залишків (відпрацьованої кулінарної олії UCO, тваринних жирів, лушпиння, гною для біометану) та рідкого/газоподібного біопалива на енергетичний ринок ЄС. ISCC PLUS розроблена для ринків поза межами паливної директиви: сертифікації біо-орієнтованих та циркулярних (механічно або хімічно перероблених) полімерів, пластикової упаковки, текстилю та харчових інгредієнтів. Сертифікат ISCC забезпечує найвищу ліквідність товару для мультинаціональних трейдерів (Cargill, Bunge, ADM, Viterra, Louis Dreyfus).
• REDcert (REDcert-EU та REDcert2): німецька схема сертифікації, яка широко використовується великими європейськими виробниками біодизелю, біоетанолу, біогазовими комплексами та переробниками цукрових буряків і крохмалю. Відрізняється зручною централізованою цифровою базою даних передачі прав власності на партії біомаси та чіткими правилами вибіркового аудиту фермерських господарств навколо Першого пункту збору (First Gathering Point / елеватора).
• KZR INiG (System Kryteriow Zrownowazonego Rozwoju): польська схема, адміністратором якої є Інститут нафти і газу у Кракові (Instytut Nafty i Gazu - Panstwowy Instytut Badawczy), офіційно визнана Єврокомісією для всіх країн ЄС. Для українських елеваторів, агровиробників, лісозаготівельних підприємств (деревна тріска, пелети, біомаса з відходів лісового господарства) та зернотрейдерів, які експортують продукцію суходолом і залізницею через Польщу, країни Балтії та Східну Європу, сертифікація KZR INiG часто є найбільш економічно вигідною за вартістю реєстраційних зборів і аудиту.
• 2BSvs (Biomass Biofuels Sustainability voluntary scheme): французька добровільна схема, створена консорціумом провідних європейських зернових асоціацій. Вузько сфокусована саме на сферах збору, зберігання, трейдингу та первинної переробки зернових і олійних культур без зайвого адміністративного навантаження, яке властиве складним багатогалузевим схемам.

Четвертий інженерний кластер об'єднує стандарти підвищеної технічної відповідальності, де ціною помилки є безпека польотів, обороноздатність, витік державної чи комерційної таємниці або юридична нікчемність лабораторних протоколів.

1. AQAP 2110 (STANAG 4107): стандарти забезпечення якості НАТО для оборонних підприємств

Для українських підприємств оборонно-промислового комплексу (ОПК), розробників безпілотних систем (БПЛА та наземних роботизованих комплексів), засобів радіоелектронної боротьби (РЕБ), бронетехніки, тактичного спорядження та військового програмного забезпечення базового сертифіката ISO 9001 недостатньо для участі у прямих закупівлях Агенції НАТО з підтримки та постачання (NSPA), спільних підприємствах із західними оборонними концернами (Rheinmetall, BAE Systems, Thales, KNDS) та довгострокових державних оборонних контрактах. Тут діє союзний стандарт НАТО AQAP 2110 (Allied Quality Assurance Publication: NATO Quality Assurance Requirements for Design, Development and Production).

Стандарт AQAP 2110 бере за основу структуру ISO 9001, але надбудовує над нею жорсткі військово-інженерні вимоги:

• Обов'язковий План якості (Quality Plan) під кожен контракт: документ, який узгоджується із замовником до старту виробництва і регламентує всі контрольні точки, випробування та критерії приймання.
• Управління конфігурацією (Configuration Management за ISO 10007): повна простежуваність базової конфігурації виробу (Configuration Baseline), суворий контроль кожного конструкторського відхилення (Concession / Deviation Permit) та кожної зміни комплектуючих, щоб унеможливити ситуацію, коли у двох дронах однієї партії стоять неідентифіковані контролери.
• Управління ризиками впродовж контракту та допуск представника державного забезпечення якості (GQAR): безумовне право військового представника замовника (Government Quality Assurance Representative) інспектувати виробничі лінії, бути присутнім на полігонних чи стендових випробуваннях і перевіряти субпідрядників.

2. AS 9100 (EN 9100:2018 / AS9100 Rev D): авіаційна, космічна та оборонна промисловість

Якщо ваше підприємство виготовляє планери, лопатки турбін, авіоніку, гідравлічні приводи, композитні деталі або вузли для цивільної й військової авіації та космосу, галузевим стандартом є AS 9100 (в Європі публікується як EN 9100). До вимог ISO 9001 стандарт AS 9100 додає п'ять критичних авіаційних контурів: 1) Управління безпекою виробу (Product Safety) на всьому життєвому циклі; 2) Запобігання потраплянню сторонніх предметів і уламків у вузли під час складання (FOD: Foreign Object Debris / Damage); 3) Захист ланцюга постачання від контрафактних та фальсифікованих електронних і металургійних компонентів (Counterfeit Parts Prevention, п. 8.1.4); 4) Обов'язкова інспекція першого зразка (FAI: First Article Inspection за стандартом AS9102) при запуску нової деталі або зміні верстата; 5) Моніторинг Ключових характеристик (Key Characteristics) та спеціальних процесів.

3. ISO/IEC 27001 (ДСТУ ISO/IEC 27001:2023): система управління інформаційною безпекою (СУІБ / ISMS)

У сучасному B2B-секторі стандарт ISO/IEC 27001 вийшов далеко за межі класичного ІТ-аутсорсингу. Сьогодні його впроваджують SaaS- та MilTech-компанії, банки, фінтех-платіжні системи, медичні мережі, логістичні оператори, енергетичні компанії з промисловими системами АСУ ТП / SCADA та будь-який підрядник, що обробляє персональні дані резидентів ЄС за регламентом GDPR або підпадає під вимоги європейської директиви з кібербезпеки NIS2.

Чинна редакція стандарту (ISO/IEC 27001:2022, в Україні ДСТУ ISO/IEC 27001:2023) базується на кількісній та якісній оцінці ризиків інформаційних активів (п. 6.1.2), оформленні обов'язкового документа Положення про застосовність (Statement of Applicability, SoA, п. 6.1.3) та впровадженні 93 заходів контролю (Annex A), згрупованих у 4 домени:

• Організаційні заходи (Розділ 5 Додатка А, 37 контролів): кіберрозвідка загроз (Threat Intelligence), інформаційна безпека у відносинах із постачальниками та при використанні хмарних сервісів (AWS, Azure, GCP), управління інцидентами та готовність ІКТ до безперервності бізнесу.
• Заходи щодо персоналу (Розділ 6 Додатка А, 8 контролів): скринінг кандидатів при наймі, угоди про нерозголошення (NDA), безпечна дистанційна робота (Remote Working) та дисциплінарні процедури.
• Фізичні заходи (Розділ 7 Додатка А, 14 контролів): периметри фізичної безпеки серверних і конструкторських бюро, СКУД, захист носіїв та безпечна утилізація обладнання.
• Технологічні заходи (Розділ 8 Додатка А, 34 контролі): управління привілейованим доступом (PAM), багатофакторна автентифікація, криптографія, запобігання витоку даних (DLP), маскування даних, безпечна розробка ПЗ (Secure SDLC), управління вразливостями та централізоване логування подій (SIEM).

4. ISO/IEC 17025 (ДСТУ EN ISO/IEC 17025:2019): акредитація випробувальних та калібрувальних лабораторій

Критична помилка багатьох заводів і агропідприємств: вважати, що сертифікат ISO 9001 підтверджує право їхньої заводської лабораторії видавати офіційні протоколи випробувань. Це не так. Для підтвердження технічної компетентності випробувальних та калібрувальних лабораторій (зернових, олійних, харчових, хімічних, металографічних, будівельних, екологічних та метрологічних) діє спеціалізований стандарт ISO/IEC 17025.

На відміну від сертифікації систем управління, за стандартом ISO/IEC 17025 лабораторія проходить процедуру акредитації безпосередньо в НААУ під парасолькою глобальної угоди ILAC MRA. Під час акредитації експерти НААУ перевіряють: неупередженість та конфіденційність персоналу лабораторії (Розділ 4); кліматичні умови приміщень і безперервну метрологічну простежуваність (Metrological Traceability, п. 6.5) результатів вимірювань до одиниць системи SI через еталони та сертифіковані стандартні зразки (CRM); валідацію та верифікацію методик випробувань (п. 7.2); математичний розрахунок невизначеності вимірювань (Measurement Uncertainty, п. 7.6); а також успішну участь лабораторії у зовнішніх раундах міжлабораторних порівняльних випробувань (Proficiency Testing / PT, п. 7.7). При цьому розділ 8 стандарту дозволяє інтегрувати управлінську систему лабораторії у загальнозаводську систему ISO 9001 за Варіантом В (Option B).

Як обрати стандарт ISO для підприємства і в якій послідовності їх комбінувати, щоб не переплачувати за дублюючі аудити? У консалтинговій практиці Еконтроль ми використовуємо трирівневу інженерну архітектуру комплектації сертифікатів під кожну конкретну бізнес-модель:

1. Рівень 1 (Базовий управлінський каркас Annex SL): забезпечує проходження загальної прекваліфікації в тендерах Prozorro, у західних корпоративних замовників і банків (зазвичай ISO 9001 самостійно або у зв'язці QHSE разом із ISO 14001 та ISO 45001).
2. Рівень 2 (Галузевий ліцензійний або контрактний стандарт): відкриває доступ до профільного ринку (схеми GFSI у харчовій галузі, RED III у біомасі та зернотрейдингу, AQAP 2110 / AS 9100 в обороні та авіації, ISO/IEC 27001 у роботі з чутливими даними).
3. Рівень 3 (Функціональне розширення для маржинальності та незалежності): енергоменеджмент ISO 50001 для зниження собівартості, акредитація власної лабораторії за ISO/IEC 17025 для відмови від сторонніх платних аналізів, або релігійна сертифікація Halal і Kosher для преміальних експортних ринків.

У зведеній інженерній таблиці нижче наведено матрицю вибору сертифікації за 18 ключовими галузями української економіки та експорту.

Коли до експертів Еконтроль звертається підприємство із запитом «підкажіть, який сертифікат нам зробити першим», ми ніколи не починаємо з абстрактних порад. Перший крок нашого діагностичного аудиту полягає у вивченні ваших цільових контрактів, тендерних специфікацій та анкет постачальника (Vendor Pre-Qualification Questionnaires). У реальній B2B-економіці вибір стандарту на 100% диктується тим, через який із чотирьох закупівельних шлюзів ви продаєте свою продукцію.

1. Публічні закупівлі Prozorro та міжнародні тендери відбудови (ЄБРР, Світовий банк, Ukraine Facility)

У державних та муніципальних тендерах Prozorro (будівництво фортифікацій, відновлення енергооб'єктів, постачання продуктів харчування, машинобудівної продукції, ІТ-обладнання чи послуг з ремонту) замовники дедалі частіше включають до тендерної документації вимогу надати чинні сертифікати ISO 9001, ISO 14001, ISO 45001, ISO 22000 або ISO/IEC 27001.

На що сьогодні звертають увагу тендерні комітети та Постійно діюча адміністративна колегія Антимонопольного комітету України (АМКУ) під час розгляду скарг конкурентів?

• Перевірка акредитації органу в НААУ або EA MLA: конкуренти на торгах першим ділом відкривають офіційний реєстр НААУ і перевіряють, чи має орган сертифікації, який видав вам документ, чинний атестат акредитації за ДСТУ EN ISO/IEC 17021-1 і чи входять коди КВЕД/ДСТУ предмета закупівлі до сфери акредитації цього органу. Якщо сертифікат куплений у неакредитованій «добровільній системі», пропозицію учасника відхиляють.
• Точний збіг сфери сертифікації (Scope) із предметом тендеру: якщо ви подаєтеся на тендер із капітального будівництва чи монтажу інженерних мереж, а у вашому сертифікаті ISO 9001 записано лише «Оптова торгівля будівельними матеріалами», тендерний комітет зобов'язаний дискваліфікувати пропозицію.

2. Європейський рітейл (Private Label) проти індустріальних B2B-закупівель харчової сировини

У харчовому експорті діє чітке розмежування мандатів покупців. Якщо ви постачаєте фасовану продукцію на полицю європейського супермаркету під брендом мережі (Private Label), відділ якості мережі вимагає виключно визнаний GFSI стандарт із жорстким протоколом огляду цеху: IFS Food (для Німеччини, Польщі, Франції, Австрії) або BRCGS Food Safety (для Великої Британії, Скандинавії та США). Якщо ж ваш клієнт є індустріальним переробником (наприклад, європейський завод купує у вас яблучний концентрат, соняшникову олію, сухе молоко, крохмаль або гофроящик), ідеальним вибором є FSSC 22000 (FSSC 22000 Version 6), який так само має повне визнання GFSI, але побудований на базі ISO 22000 і дозволяє інтегрувати аудит з ISO 9001 та ISO 14001.

3. Сировинний агро- та біопаливний трейдинг за квотами RED III

У торгівлі зерновими, олійними культурами, шротом та біопаливом сертифікат сталості є фінансовим інструментом, що напряму формує ціну контракту. ЄС зобов'язує постачальників палива декарбонізувати транспортний сектор. Коли український агрохолдинг або трейдер продає ріпак чи кукурудзу з чинним сертифікатом ISCC EU, KZR INiG, REDcert або 2BSvs і підтвердженою Декларацією сталості (Sustainability Declaration із розрахованими низькими викидами ПГ за регіоном NUTS2 або індивідуальним розрахунком), європейський біодизельний чи біоетанольний завод сплачує за таку партію ринкову премію. Без сертифіката RED III та сама партія зерна може продаватися лише у кормовий чи технічний сегмент з дисконтом (а для кормового сегмента ЄС все одно знадобиться сертифікат GMP+).

4. Оборонні закупівлі НАТО та глобальний ІТ/MilTech-комплаєнс

При виході на оборонні замовлення країн-членів НАТО та спільні проєкти ОПК діє стандарт НАТО STANAG 4107, який імплементується через сертифікацію за AQAP 2110 або аерокосмічним стандартом AS 9100. При цьому, якщо виріб містить вбудоване програмне забезпечення, канали захищеного зв'язку або обробляє чутливу конструкторську документацію західного партнера, до AQAP 2110 обов'язково додається вимога сертифікованої системи управління інформаційною безпекою за ISO/IEC 27001.

Більшість середніх і великих підприємств рідко зупиняються на одному сертифікаті. Типовий машинобудівний завод чи будівельний холдинг впроваджує комбінацію ISO 9001 + ISO 14001 + ISO 45001, харчовий комбінат поєднує FSSC 22000 + ISO 14001 + Halal, а елеваторний комплекс або олійноекстракційний завод синхронізує ISO 22000, GMP+, ISCC EU та власну випробувальну лабораторію за ISO/IEC 17025. Якщо впроваджувати та сертифікувати кожен стандарт окремо у різних відділах, компанія платить двічі: спочатку за дублювання паперових процедур, а потім за окремі виїзди аудиторських груп.

Побудова єдиної інтегрованої системи менеджменту (ІСМ) дозволяє офіційно скоротити тривалість та вартість зовнішнього сертифікаційного аудиту до 20% згідно з обов'язковими документами Міжнародного форуму з акредитації IAF MD 5 (Determination of Audit Time of Quality, Environmental, and Occupational Health & Safety Management Systems) та IAF MD 11 (IAF Mandatory Document for the Application of ISO/IEC 17021-1 for Audits of Integrated Management Systems).

Інженерна формула розрахунку часу комбінованого аудиту за IAF MD 5 та IAF MD 11

Акредитований орган сертифікації не має права призначати кількість людино-днів (auditor-days) довільно. Розрахунок виконується за чітким чотирикроковим алгоритмом:

1. Крок 1. Визначення базового часу для кожного стандарту окремо ($t_i$) за таблицями IAF MD 5: спочатку орган сертифікації визначає ефективну чисельність персоналу підприємства ($N_{\text{eff}}$) у межах сфери сертифікації (з можливістю обґрунтованого понижувального коефіцієнта для однотипних повторюваних професій, таких як водії, пакувальники чи охоронці) та категорію складності/ризику галузі (High, Medium або Low). Важливе правило IAF MD 5: на цьому етапі зменшувати час через інтеграцію заборонено.
2. Крок 2. Обчислення стартової суми людино-днів ($T_{\text{sum}}$): індивідуальна тривалість аудитів додається: $$T_{\text{sum}} = t_{\text{ISO 9001}} + t_{\text{ISO 14001}} + t_{\text{ISO 45001}}$$
3. Крок 3. Оцінка двох осей інтеграції за Додатком 1 стандарту IAF MD 11:
   • Вісь 1: Рівень інтеграції системи управління клієнта (від 0% до 100%). Орган сертифікації перевіряє шість критеріїв: 1) єдиний інтегрований аналіз з боку керівництва (Management Review, п. 9.3); 2) інтегрований підхід до внутрішніх аудитів за ДСТУ ISO 19011 (п. 9.2); 3) єдина політика та інтегровані цілі (п. 5.2, 6.2); 4) інтегровані системні процеси (документообіг п. 7.5, компетентність п. 7.2); 5) єдиний механізм оцінки ризиків, планування та коригувальних дій CAPA (п. 6.1, 10.2); 6) єдине управління операційною підтримкою та відповідальністю.
   • Вісь 2: Мульти-стандартна компетентність аудиторської групи органу сертифікації (від 0% до 100%). Оцінюється частка аудиторів у групі, які одночасно атестовані за двома або трьома стандартами і проводять перехресні інтерв'ю в один потік.
4. Крок 4. Застосування знижки до 20%: на перетині двох осей у матриці IAF MD 11 визначається відсоток скорочення $\Delta R$ (максимальна верхня межа за IAF MD 11 становить 20% від $T_{\text{sum}}$). Підсумковий час інтегрованого аудиту становить: $$T_{\text{IMS}} = T_{\text{sum}} \times (1 - \Delta R)$$

Числовий приклад економії для заводу на 150 працівників

Для українського промислового підприємства зі штатом 150 осіб (категорія ризику Medium) базовий час початкової сертифікації (Етап 1 + Етап 2) за таблицями IAF MD 5 становить: 8,0 аудито-днів для ISO 9001 + 8,5 аудито-дня для ISO 14001 + 8,5 аудито-дня для ISO 45001, тобто разом $T_{\text{sum}} = 25,0\text{ аудито-днів}$. Завдяки побудові повноцінної ІСМ за методологією Еконтроль (рівень інтеграції 90-100%) застосовується максимальна знижка 20%, і тривалість аудиту зменшується до $20,0\text{ аудито-днів}$. Компанія заощаджує 5 повних аудито-днів на старті, ще по 1,5-2 аудито-дні на кожному щорічному наглядовому аудиті і приймає одну спільну комісію раз на рік замість трьох окремих перевірок, але отримує три окремі офіційні сертифікати у реєстрі.

Щоб система менеджменту працювала на прибуток бізнесу, не перевантажувала інженерів паперовою бюрократією і з першого разу пройшла перевірку акредитованого органу, проєкт впровадження стандартів ISO під ключ виконується за шестиетапним інженерним маршрутом. Середній термін реалізації від стартового обстеження до видачі сертифіката становить від 3 до 6 місяців (для компактних систем ISO 9001 або HACCP на діючих підприємствах можливий прискорений трек за 8-10 тижнів, тоді як складні проєкти FSSC 22000 V6, AS 9100 чи ISO/IEC 17025 з модернізацією цехів і міжлабораторними раундами тривають 5-8 місяців).

П'ять критичних помилок, які зривають терміни сертифікації

За досвідом понад 250 реалізованих проєктів команди Еконтроль, затримки на етапі сертифікації виникають через п'ять типових управлінських прорахунків:

1. Купівля шаблонної документації, відірваної від реальних цехів і ERP-системи. Коли на заводі впроваджено облік у BAS/SAP або MES, а консультант приносить паперові журнали зразка 2005 року з чужого підприємства, лінійний персонал саботує їх заповнення. На Етапі 2 (Stage 2) аудитор бачить розбіжність між написаною процедурою та реальними діями оператора біля верстата і виписує суттєву невідповідність (Major Nonconformity).
2. Помилкове формулювання сфери сертифікації (Scope, п. 4.3) та виключень. Занадто вузька сфера (наприклад, сертифікувати лише центральний офіс, виключивши виробничий майданчик чи склад) не приймається замовниками у тендерах. А необґрунтоване виключення розділу 8.3 «Проєктування і розробка» на заводі, який сам конструює вироби або змінює рецептури, блокує проходження Етапу 1.
3. Ігнорування метрології та валідації критичних процесів. До моменту виходу аудиторів на Stage 2 усі ваги, манометри, термометри камер зберігання, pH-метри та газоаналізатори в контурі якості й безпеки повинні мати чинні свідоцтва про калібрування або повірку, а металодетектори, стерилізатори та зварювальні апарати мають пройти документальну валідацію.
4. Формальний внутрішній аудит без реальної вибірки (п. 9.2). Якщо внутрішній аудитор заповнив чек-лист за 20 хвилин і написав «зауважень не виявлено» у новоствореній системі, зовнішній аудитор розцінює це як недієвість процедури внутрішнього аудиту. Живий внутрішній аудит завжди знаходить точки росту та запускає цикл CAPA до приїзду органу сертифікації.
5. Відсутність накопиченої доказової бази записів. Орган сертифікації перевіряє не лише наявність наказу про затвердження політики, а й те, як система реально функціонувала впродовж щонайменше 2-3 місяців: журнали вхідного контролю, протоколи санітарних змивів, наряди-допуски, акти тренувальних аварійних тривог, картки оцінки постачальників та протокол аналізу системи вищим керівництвом.

Як організувати проєкт з командою Еконтроль

Незалежно від того, чи потрібна вам базова сертифікація ISO 9001 під найближчий тендер Prozorro, перехід на FSSC 22000 для експорту харчової продукції у рітейл ЄС, сертифікація сталості біомаси ISCC / KZR INiG, впровадження AQAP 2110 та ISO/IEC 27001 для оборонних та ІТ-контрактів чи акредитація випробувальної лабораторії за ISO/IEC 17025, ми забезпечуємо повний інженерний цикл:

• починаємо з виїзного або дистанційного діагностичного аудиту (Gap-аналізу), де оцінюємо поточний стан інфраструктури, дозвільних документів і процесів;
• виконуємо розробку документації, картування ризиків, навчання персоналу та впровадження стандартів ISO під ключ з інтеграцією у ваші діючі ІТ- та виробничі процеси;
• забезпечуємо експертний супровід під час сертифікаційного аудиту на Етапі 1 і Етапі 2 в органах, акредитованих НААУ або європейськими членами EA MLA;
• після отримання сертифікатів беремо систему на річний супровід систем менеджменту, проводячи для вас планові внутрішні аудити, оновлюючи реєстри законодавства та готуючи підприємство до щорічних наглядових аудитів. Залиште заявку на сторінці контактів Еконтроль, щоб отримати інженерний розрахунок вартості та календарний план під ваше підприємство.