ISO 28000 – bezpieczeństwo łańcucha dostaw jako system, nie przypadek

Pandemia COVID-19, agresja Rosji na Ukrainę, blokada Kanału Sueskiego – ostatnie lata boleśnie przypomniały firmom, jak kruchy może być łańcuch dostaw. Większość organizacji zarządzała ryzykiem wyłącznie w obrębie własnego ogniwa – nie zastanawiając się, co się stanie, gdy zawiedzie dostawca dostawcy, zamknie się port lub zabraknie komponentu produkowanego przez jednego globalnego wytwórcę. ISO 28000 jest odpowiedzią na tę kruchość: normą, która przekształca zarządzanie bezpieczeństwem łańcucha dostaw z intuicji i reaktywnego gaszenia pożarów w udokumentowany, certyfikowalny system.

Czym jest ISO 28000 i kogo dotyczy

ISO 28000 to międzynarodowa norma dotycząca systemu zarządzania bezpieczeństwem łańcucha dostaw. Aktualna wersja – ISO 28000:2022 – rozszerza zakres w stosunku do poprzedniej edycji z 2007 roku: może być stosowana we wszystkich aspektach bezpieczeństwa organizacji, nie tylko w odniesieniu do łańcucha dostaw. Norma koncentruje się na aspektach krytycznych dla zarządzania ryzykiem bezpieczeństwa, obejmując finansowanie, produkcję, zarządzanie informacją, transport oraz magazynowanie towarów w tranzycie.

ISO 28000 może być wdrożona w każdym rodzaju przedsiębiorstwa – od małych firm po międzynarodowe korporacje. Norma ma zastosowanie w sektorze produkcyjnym i usługowym, magazynowaniu i transporcie na każdym etapie procesu produkcyjnego lub łańcucha dostaw. W praktyce standard jest szczególnie istotny dla operatorów logistycznych, portów morskich i lotniczych, firm spedycyjnych, producentów działających w globalnych łańcuchach dostaw oraz importerów i eksporterów.

ISO 28000:2022 stosuje model Plan-Do-Check-Act (PDCA) do planowania, ustanawiania, wdrażania, monitorowania, przeglądu i ciągłego doskonalenia skuteczności systemu zarządzania bezpieczeństwem organizacji. Dzięki zgodności ze strukturą High Level Structure standard jest łatwy do zintegrowania z ISO 9001, ISO 14001, ISO 45001 i innymi normami systemów zarządzania.

Kluczowe wymagania – co system zarządzania bezpieczeństwem łańcucha dostaw musi obejmować

Centrum systemu ISO 28000 jest ocena ryzyka bezpieczeństwa – systematyczna identyfikacja zagrożeń na każdym etapie łańcucha dostaw i ocena prawdopodobieństwa ich wystąpienia oraz potencjalnych skutków. Ocena ryzyka łańcucha dostaw jest najważniejszym i wyjściowym punktem w zarządzaniu bezpieczeństwem łańcucha. Stosując zasady wskazane w normie ISO 28000, możliwe jest ograniczenie negatywnych skutków zagrożeń ze strony łańcucha dostaw, a co za tym idzie zapewnienie płynniejszego i bardziej stabilnego działania firmy.

Norma wymaga wdrożenia polityki bezpieczeństwa łańcucha dostaw zatwierdzonej przez najwyższe kierownictwo oraz udokumentowanych celów i planów działania. Wymagane jest zarządzanie zagrożeniami fizycznymi (kradzieże, napady, sabotaż, terroryzm), zagrożeniami cybernetycznymi w systemach logistycznych i informatycznych wspierających łańcuch dostaw, zagrożeniami związanymi z personelem i dostępem do obiektów, a także zakłóceniami wynikającymi z zdarzeń naturalnych i geopolitycznych.

ISO 28000 skupia się na bezpieczeństwie fizycznym i technicznym, obejmując zarówno zabezpieczenia fizyczne, jak i technologie wspierające bezpieczeństwo łańcucha dostaw, takie jak systemy śledzenia i monitorowania transportu. Równie istotne jest zarządzanie incydentami – norma wymaga udokumentowanych procedur reagowania na zdarzenia bezpieczeństwa, ich dokumentowania, analizowania i przekładania wniosków na aktualizację systemu.

Kluczowym elementem jest też nadzór nad partnerami w łańcuchu dostaw. Organizacje zarządzające wieloma łańcuchami dostaw mogą wymagać od usługodawców spełnienia powiązanych standardów bezpieczeństwa jako warunku włączenia do tego łańcucha dostaw. Oznacza to, że certyfikat ISO 28000 staje się przepustką do współpracy z wymagającymi partnerami, tak jak dzieje się to w przypadku standardów jakości czy bezpieczeństwa żywności.

ISO 28000 a status AEO – powiązanie, które warto znać

Jedną z najbardziej praktycznych korzyści z wdrożenia ISO 28000, rzadko omawianą w polskojęzycznych źródłach, jest jego powiązanie ze statusem AEO (Authorised Economic Operator) – Upoważnionego Podmiotu Gospodarczego w rozumieniu unijnego prawa celnego.

Status AEO jest przyznawany przez organy celne firmom, które wykazały się wiarygodnością w obszarze przestrzegania przepisów celnych, wypłacalności finansowej i standardów bezpieczeństwa. Wdrożenie ISO 28000 ułatwia pozyskanie i utrzymanie statusu AEO. Dzieje się tak dlatego, że wymagania ISO 28000 w zakresie zarządzania ryzykiem bezpieczeństwa łańcucha dostaw są zbieżne z kryteriami bezpieczeństwa stosowanymi przez organy celne przy ocenie wniosków o status AEO. Firma z certyfikatem ISO 28000 ma udokumentowany, audytowany system zarządzania bezpieczeństwem – co jest jednym z kluczowych elementów weryfikowanych przez organy celne.

Status AEO z kolei przynosi wymierne korzyści operacyjne: szybszą odprawę celną, mniejszą liczbę kontroli fizycznych przesyłek, uproszczony dostęp do procedur celnych i wzajemne uznawanie przez kraje, z którymi UE zawarła porozumienia o wzajemnym uznaniu (w tym USA, Japonia, Chiny, Szwajcaria). Dla firm aktywnych w handlu międzynarodowym ISO 28000 i status AEO tworzą synergię, która przekłada się na realne oszczędności operacyjne i szybszy przepływ towarów przez granice.