Цель сертификации – обеспечить качество

Болотова Т.Ю, Гарант-информ, (bolotova@garant.ru)
Эльянов М.М. (info@armit.ru)

"Действительно жить – это  значит жить, располагая правильной информацией". 
Норберт Винер 
      
Сложность задач решаемых в медицине определяет  высокий уровень требований, предъявляемых к программному обеспечению  в области медицинских информационных технологий и систем мониторинга. При проектировании, создании и использовании программных средств (ПС) необходимо принимать все необходимые меры  в отношении безопасности применения, управляемости и надежности эксплуатируемых ПС. Задачами контроля и соблюдения требований безопасности и в целом качества программной продукции медицинского назначения занимается стандартизация и сертификация информационных технологий в системе здравоохранения.

Из истории сертификации

Приказ Минздрава РФ № 127 «О сертификации программных средств» принятый  26.07.91  рекомендовал «руководителям органов и учреждений здравоохранения использовать ПС, связанные с диагностикой, выбором тактики лечения и самим лечением, только при наличии сертификата качества». Так начался процесс сертификации программных средств, целями которой являются: 
-	подтверждение показателей качества ПС и оценка технического уровня
-	контроль безопасности программной продукции и дальнейшее тиражирование ПС для использования организациями  и индивидуальными предпринимателями;
-	защита  от недобросовестного разработчика ПС и с другой стороны  отказ от необоснованных претензий потребителя в страховых случаях; 
-	функциональная стандартизация программного обеспечения; 
-	компетентность на  российском рынке информационных технологий, возможность  участия  в международном экономическом, научно-техническом  сотрудничестве и международной торговле; 
Правовой базой сертификации и дальнейшего использования программных продуктов длительное время являлись законы Российской Федерации: "О сертификации продуктов и услуг", "О стандартизации", "О защите прав потребителей" и ныне действующий закон  "Об информации, информатизации и защите информации" (с изменениями от 10.01.2003) и ряд других.  Нормативную  базу сертификации ПС составляют  базовые российские и международные стандарты в области управления, информационных технологий, в области открытых систем и базовые государственные стандарты на создание, документирование и испытания автоматизированных систем. На соответствие требованиям  Госстандарта России таким например, как  ГОСТ Р ИСО\МЭК 9126-93 (по оценке программной документации), ГОСТ Р ИСО\МЭК ТО 9294-93 (по документированию программного обеспечения), ГОСТ Р ИСО 9127-94 (по оформлению документации пользователя), ГОСТ 28195-89 (по оценке качества программных средств), ГОСТ 28806-90 (по определению понятий в области качества ПС) традиционно проводится сертификация программного обеспечения. В современных условиях основным законодателем «моды» развития сертификации продукции является Общеевропейский рынок, и сейчас наметилась тенденция, когда оценка качества на соответствие международным стандартам  рассматривается как обязательное условие успешной интеграции с мировым информационным пространством.  Постановлением Правительства РФ "О некоторых мерах, направленных на совершенствование систем обеспечения качества продукции и услуг" внесены изменения в  Порядок подготовки и заключения государственных контрактов на закупку и поставку продукции для федеральных государственных нужд.  Из него следует,  что сертификация по Международному стандарту качества  ISO 9000 (где речь идет  не только о качестве товара или услуги, а о качестве процессов, которые создают этот товар или обеспечивают выполнение услуги) становится необходимым условием для получения Госзаказа [2].   В настоящий момент эти стандарты признаны практически всеми странами мира. В России действует отечественная (аутентичная) версии ГОСТ Р серии 9000,  введенные в действие с 31.08.2001. Для компаний, занимающихся разработкой программного обеспечения, существуют отдельные спецификации на базе ISO 9000. 

Закон «О техническом регулировании» и переходные положения

С принятием  27.12.2002 Федерального Закона № 184-ФЗ "О техническом регулировании" (далее Закон)  [8] кардинально меняется вся система сертификации продукции  и услуг, и вся национальная политика в области качества.  С момента вступления Закона в силу с 1 июля 2003 г. в течение 7 лет должен состояться полный переход от ныне действующей системы  сертификации к  новой системе оценке соответствия в нашей стране. Утратили силу целый ряд правовых актов, в том числе Закон РФ от 10.06.1993 № 5151-1 "О сертификации продукции и услуг", а также Закон РФ от 10.06.1993 № 5154-1 "О стандартизации". 
Остановимся на одном из важных ключевых моментов. Из текста Закона следует, что оценка соответствия может проводиться в самых различных формах, в том числе путем государственного контроля (надзора), аккредитации, испытания, регистрации, подтверждения соответствия, приемки и др., причем этот перечень не является исчерпывающим. Иначе говоря, подтверждение соответствия, и в частности, сертификация, не только не является единственным или самым важным, но всего лишь одним из многих способов оценки соответствия [18].
Согласно Закону подтверждение соответствия может быть обязательным и добровольным (ст.20 Закона).  Добровольное подтверждение соответствия осуществляется в форме добровольной сертификации. Обязательное подтверждение соответствия - в форме принятия декларации о соответствии или обязательной сертификации.
Обязательное подтверждение соответствия проводится только в случаях, установленных соответствующим техническим регламентом, и исключительно на соответствие требованиям технического регламента (п.1 ст.23 Закона). Технические регламенты принимаются "в целях: защиты жизни или здоровья граждан, имущества физических или юридических лиц, государственного или муниципального имущества; охраны окружающей среды, жизни или здоровья животных и растений; предупреждения действий, вводящих в заблуждение приобретателей. Принятие технических регламентов в иных целях не допускается" (ст.6 Закона).
Исходя из концепции Закона, приоритетной является декларирование соответствия, осуществляемое согласно требованиям технических регламентов [10]. Декларирование соответствия может осуществляться по двум схемам:
-	на основании собственных доказательств,
-	на основании собственных доказательств плюс доказательств третьей стороны (органа по сертификации и/или аккредитованной лаборатории) (п.1 ст.24 Закона). 
При декларировании  изготовитель под личную ответственность заявляет, что его продукция соответствует обязательным требованиям. Оформленная по установленным правилам декларация о соответствии регистрируется федеральным органом по техническому регулированию. Функции федерального органа исполнительной власти по техническому регулированию и функции национального органа РФ по стандартизации выполняет Госстандарт РФ [15].
Согласно определению, данному в Законе форма подтверждения соответствия,  выражается как определенный порядок «документального удостоверения соответствия продукции… требованиям технических регламентов, положениям стандартов или условиям договоров» (ст.18 Закона). Из этого следует, что отличительным признаком формы подтверждения соответствия является вид выходного документа, которым должно удостоверяться соответствие - это или декларация о соответствии, принимаемая заявителем (первой стороной), или сертификат соответствия, выдаваемый органом по сертификации (третьей стороной) [10]. Декларация о соответствии и сертификат соответствия имеют равную юридическую силу независимо от схем обязательного подтверждения соответствия и действуют на всей территории Российской Федерации  (ст. 23 Закона).  
В принципе, предложенные формы подтверждения соответствия (добровольная сертификация, декларация соответствия и обязательная сертификация) были закреплены и в Законе РФ "О сертификации продукции и услуг". Соответственно, остается открытым вопрос, каково будет соотношение различных форм подтверждения соответствия. Закон «О техническом регулировании», таким образом, определяет общие контуры системы, и ее реальная эффективность будет зависеть как от содержания остальной нормативной базы технического регулирования и государственного контроля, так и  от правоприменительной практики [18]. 
Со дня вступления в силу Закона с 1 июля 2003 г. впредь до вступления в силу соответствующих технических регламентов осуществляется применение действующих государственных и межгосударственных стандартов в добровольном порядке за исключением обязательных требований, обеспечивающих достижение целей законодательства Российской Федерации о техническом регулировании [16]. Другими словами, обязательны для исполнения лишь требования по обеспечению безопасности, установленные действующими нормативно-правовыми актами и нормативными документами ведомств. 
Переходные положения вызывают многочисленные вопросы и требуют углубленных комментариев. Можно лишь добавить, что дополнительные разъяснения  даны Госстандартом РФ  в информационном письме "О применении нормативных документов в области обязательного подтверждения соответствия" [17]. В нем говорится о том,  что пока регламентов нет, обязательная сертификация должна проводиться по ранее утвержденным нормативным документам. 
В настоящий момент для добровольной сертификации на уровне нормативных актов по   вопросам формирования структур систем  добровольной сертификации, функций ее участников и правил участия  не существует детального законодательного регулирования  [7].  Проекты и подходы обсуждаются и направляются на согласование в ведомства,  но когда они будут реализованы практически, пока не очень понятно. В соответствии с новой системой документации, установленной Законом, добровольная сертификация проводится на соответствие национальным стандартам, стандартам организаций, а также на соответствие системам добровольной сертификации и условиям договоров о требованиях к реализуемой продукции (работам, услугам) (ст.21 Закона).  Два последних документа ранее в законодательстве не предусматривались. 
Со вступлением в силу Федерального закона «О техническом регулировании» значительно меняется структура государственного реестра объектов и участников сертификации. Его заменят самостоятельные организационные структуры, связанные с информационными ресурсами в области подтверждения соответствия: единый реестр зарегистрированных систем добровольной сертификации, единый реестр выданных сертификатов и реестр деклараций соответствия, принятых по техническому регламенту [11].  
Задачей первого этапа, отмечает директор ВНИИСа профессор В.Г.Версан, «является устранение существующей избыточности в обязательных требованиях, а также снятие барьеров, препятствующих развитию бизнеса, сочетая это с обеспечением приемлемого уровня безопасности продукции»  [9].

Проблемы сертификации

На пути проведения действительно доказательной и авторитетной сертификации программной продукции предстоит решать достаточно много проблем. Остановимся кратко на некоторых из них.
Разговор о различных  классах потенциального риска и надежности среди программных средств и комплексов, предполагает строго дифференцированный подход к использованию  разных форм и схем сертификации с учетом принципа выбора более или менее «жестких», т.е. с большей или меньшей доказательной базой схем соответствия в зависимости  от степени потенциальной опасности продукции [9].  
При сертификации проводится  квалифицированная оценка соответствия экспертами – специалистами отдельно функциональной части (медицинского наполнения программы) и обеспечивающей части (информационного, программного и технического обеспечению). При таком подходе деятельность некоторых сертифицирующих органов носит универсальный характер,  а для некоторых  – отраслевой или узко специализированный. Отраслевая система сертификации информационных технологий в сфере здравоохранения  предусматривает создание сети проблемно-ориентированных испытательных лабораторий  и органов сертификации, аккредитованных в различных ведомственных и вневедомственных системах сертификации. Главным звеном процесса сертификации является оценка программной продукции с точки зрения ее применимости и возможности использования в отрасли здравоохранения. 
Следует указать на принципиальное отличие экспертизы от процесса сертификационных испытаний. Задачей экспертизы является не оценка на соответствие конкретным стандартам  или нормативным документам, т.е. уровня  определенного  качества, а отнесение программного средства к определенному типу или виду, учитывая специфику предметной области и новизну задачи. При этом многие наименования показателей качества в сертификате соответствия и в протоколе технологических испытаний при экспертизе программных средств и баз данных могут пересекаться и совпадать:   эффективность, надежность, сопровождаемость, показатели универсальности и другие. 
Измерения, проведенные при сертификации, характеризуют только уровень качества, достигнутый на момент сертификации. Если быть последовательными для подтверждения соответствия характеристик заявленным требованиям в течение всего срока действия сертификата  нужен  инспекционный контроль в форме периодических и внеплановых проверок и обратная связь с реальными пользователями на местах. Эти положения должны быть определены органом сертификации в зависимости от выбранной схемы сертификации. 
В целом следует исходить из права заявителя самому выбирать форму и схему подтверждения соответствия.  Для разработчиков ПС потребность в сертификации определяется целью ее проведения. Для обязательной сертификации цель – это прежде всего допуск для распространения на российский  рынок,  для добровольной –  нахождение места на рынке  путем удовлетворения требований конкретного заказчика с помощью независимого подтверждения соответствия заявленных исполнителями (разработчиками) показателей качества программной продукции [7]. 
В России  на сегодня  зарегистрировано порядка  200 систем добровольной сертификации. 
В частности действует Система добровольной сертификации (СДС) ПС, применяемых в обязательном медицинском страховании (ОМС). Правила и порядок этой СДС введены с 1 ноября 1999 года [4] и предполагают  необходимость получения сертификата соответствия ФФОМС. Организация сертификации ПС в СДС проводится на основе требований Госстандарта России.  Согласно действующему порядку СДС может  применяться  также  для сертификации ПС по желанию любого предприятия или гражданина-предпринимателя, осуществляющих разработку и поставку этих ПС потребителям для использования вне рамок ОМС. 
 Таким образом, сертификат соответствия - это весомый аргумент в пользу авторитетности предприятия, залог его состоятельности и надежного партнерства в бизнесе. Кроме того, часто наличие сертификации задается требованиями системы качества заказчика.  
С другой стороны, проведение сертификации  может быть весьма длительной, трудоемкой, и, как правило, затратной процедурой, и при этом  не являться необходимым элементом доказательной базы соответствия. Прежде, чем принять решение о подготовке и проведении сертификации, разработчики-соискатели должны тщательно взвесить все «за» и «против»), иметь возможность обратиться в любую из сертифицирующих организаций. При этом  заявитель сам  указывает, на соответствие, каким именно нормативным документам он просит провести сертификацию. 
При существующем подходе проведения подтверждения соответствия производится  либо оценка работоспособности программы по тестирующим заданиям, либо оценка соответствия программного средства заявленным требованиям, указанным разработчиком (даже если заявлено всего одно свойство)  и,  увы,  редко решается вопрос требуемой  комплексной оценки качества. Иногда излишне высокие требования к качеству программ для информационных систем  принципиально не могут быть выполнены, вследствие реальных ограничений всех видов ресурсов: бюджета, длительности разработки, характеристик вычислительных систем и квалификации специалистов.

Заключение

Отметим,  основные преимущества для сертифицированной  программной продукции с точки зрения разработчика:
-	определенное признание и повышения имиджа организации – разработчика в регионе и отрасли;
-	обязательное условие для получения государственного или  любого другого заказа в рамках целевых программ, которые финансируются из федерального бюджета или города;
-	лучшая возможность сотрудничества в совместных работах и проектах с российскими и иностранными организациями, имеющих широкие возможности для интеграции, работы в корпоративном масштабе;
-	важнейшее  конкурентное преимущество при участии, к примеру, в тендерных торгах.
С точки зрения потребителя или заказчика сертификат соответствия предоставляет определенную гарантию того, что приобретаемый программный продукт соответствует всем указанным в нем и его приложении требованиям нормативных документов, условиям и характеристикам.
Проблема выбора форм и схем подтверждения соответствия ПС, вызывает  широкий интерес и со стороны потенциальных пользователей и со стороны разработчиков. На вопрос: «Является ли сертификация программной продукции обязательной?» последует ответ:  «Нет, не является».
В то же время:
-	приказом Комитета Здравоохранения г. Москвы № 54 от 29.01.1998 определено «начальникам управлений здравоохранения административных округов, руководителям подведомственных учреждений использовать программные средства и информационные продукты, имеющие сертификаты соответствия системы сертификации ГОСТ  Р» [1]. 
-	в письме от 20.06. 2002 Минздрав РФ сообщает, что «только программные средства и базы данных, прошедшие экспертизу  и имеющие свидетельство о подтверждении показателей качества, функциональных возможностей и сферы применения, считаются рекомендованными к использованию в организациях здравоохранения» [13]. 

Насколько скоро  будут  расставлены все точки над "i" в отношении выбора форм подтверждения соответствия с соблюдением федеральных и ведомственных правоустанавливающих норм регулирования, насколько полно формализуются понятия качества и жизненного цикла программного продукта, достижим ли  взаимовыгодный диалог взаимодействия и взаимопонимания разработчиков с заказчиком и потенциальным пользователем ПС,  сегодня судить пока сложно. 
 
Литература
1.	Приказ Комитета здравоохранения Правительства Москвы от 29.01.1998 г. № 54 "О сертификации программных средств и информационных продуктов в системе Комитета здравоохранения г. Москвы".
2.	Постановление Правительства РФ от 02.02.1998 г. № 113 "О некоторых мерах, направленных на совершенствование систем обеспечения качества продукции и услуг".
3.	Приказ Федеральный фонд ОМС от 29.10.99 № 92 «О введении системы добровольной сертификации программных средств, применяемых в обязательном медицинском страховании».
4.	Теркель А.Л. Основные направления развития добровольной сертификации //Сертификация - 3/ 2002, с.10
5.	Федеральный закон от 27.12.2002 г. № 184-ФЗ "О техническом регулировании".
6.	Версан В.Г. Федеральный закон «О техническом регулировании»: проблемы введения в действие// Сертификация - 2/2003, стр. 2-5.
7.	Подтверждение соответствия в переходный период //Сертификация -3 /2003 стр.
8.	Осипов Б.В. Новое в информационном обеспечении подтверждения соответствия //Сертификация -3/ 2003, стр. 8-11.
9.	Письмо Минздрава РФ от 20.06. 2002 г. № 14-01/3173 "О порядке проведения экспертизы программных средств и баз данных, применяемых в организациях здравоохранения Российской Федерации".
10.	Постановление Правительства РФ от 02.06.2003 г. № 316 "О мерах по реализации Федерального закона "О техническом регулировании" (с изменениями от 17 июля 2003 г.).
11.	Постановление Госстандарта РФ от 27.06.2003 г. № 63 "О национальных стандартах Российской Федерации".
12.	Информационное письмо Госстандарта РФ от 27.06.2003 г. № ГЭ-1100-28/2308. «О применении нормативных документов в области обязательного подтверждения соответствия».
13.	Крючкова П.В., Завидова С.С., Хабриев Р.У. Реформа технического регулирования //Право и экономика.- 7/2003, стр. 20-28. 
В статье использован постатейный комментарий к Федеральному закону "О техническом регулировании" Я.Е.Парций - СПС «Гарант», 2003 г.