ПО ТЕХНИЧЕСКОМУ РЕГУЛИРОВАНИЮ И МЕТРОЛОГИИ

ГОСТ Р исо/мэк 90003—

2014

РАЗРАБОТКА ПРОГРАММНЫХ ПРОДУКТОВ

Руководящие указания по применению ИСО 9001:2008 при разработке программных продуктов

ISO/IEC 90003:2014 Software engineering — Guidelines for the application of ISO 9001:2008 to computer software (IDT)

Издание официальное

Предисловие

1    ПОДГОТОВЛЕН Открытым акционерным обществом «Всероссийский научно- исследовательский институт сертификации» (ОАО «ВНИИС») на основе собственного аутентичного перевода на русский язык международного стандарта, указанного в пункте 4

2    ВНЕСЕН Техническим комитетом по стандартизации ТК 076 «Системы менеджмента»

3    УТВЕРЖДЕН И ВВЕДЕН В ДЕЙСТВИЕ Приказом Федерального агентства по техническому регулированию и метрологии от 23 октября 2014 г. № 1405-ст

4    Настоящий стандарт идентичен международному стандарту ИСО/МЭК 90003:2014 «Разработка программных продуктов. Руководящие указания по применению ИСО 9001:2008 при разработке программных продуктов» (ISO/IEC 90003:2014 «Software engineering — Guidelines for the application of ISO 9001:2008 to computer software)».

При применении настоящего стандарта рекомендуется использовать вместо ссылочных международных стандартов соответствующие им национальные стандарты Российской Федерации, сведения о которых приведены в дополнительном приложении ДА

5    ВВЕДЕН ВПЕРВЫЕ

Правила применения настоящего стандарта установлены в ГОСТ Р 1.0-2012 (раздел 8). Информация об изменениях к настоящему стандарту публикуется в ежегодном (по состоянию на 1 января текущего года) информационном указателе «Национальные стандарты», а официальный текст изменений и поправок — в ежемесячном информационном указателе «Национальные стандарты». В случае пересмотра (замены) или отмены настоящего стандарта соответствующее уведомление будет опубликовано в ближайшем выпуске информационного указателя «Национальные стандарты». Соответствующая информация, уведомление и тексты размещаются также в информационной системе общего пользования - на официальном сайте Федерального агентства по техническому регулированию и метрологии в сети Интернет (gost.ru)

© Стандартинформ, 2015

В Российской Федерации настоящий стандарт не может быть полностью или частично воспроизведен, тиражирован и распространен в качестве официального издания без разрешения Федерального агентства по техническому регулированию и метрологии

ГОСТ Р ИСО/МЭК 90003—2014

4.2.4.3 Сохранение и удаление

При определении сроков сохранения записей необходимо учитывать законодательные и другие обязательные требования. В случаях, когда записи хранятся на электронных носителях, при рассмотрении вопросов, связанных со сроками хранения и доступностью записей, нужно учитывать степень деградации носителя информации, доступность и работоспособность соответствующих приборов и программных средств, необходимых для обеспечения доступа к записям. Записи могут содержать сведения, сохраняемые в системах электронной почты. Следует рассматривать вопросы, касающиеся защиты от компьютерных вирусов и от несанкционированного или незаконного доступа.

Необходимо оценивать правовой статус информации, сохраняемой в записях, когда определяются методы по стиранию и уничтожению данных с содержащих их носителей по окончании периода хранения, требуемого для этих данных.

Примечание — Для дополнительного общего руководства, относящегося к 4.2 ИСО 9001:2008 [2], см. 6.3.6 (процесс менеджмента информации) и 7.2.1 (процесс менеджмента документации программных продуктов) ИСО/МЭК 12207:2008 [7].

5 Ответственность руководства

5.1 Обязательства руководства

5.2 Ориентация на потребителя

5.3 Политика в области качества

7

5.4 Планирование

5.4.1 Цели в области качества_____

Высшее руководство организации должно обеспечивать, чтобы цели в области качества, включая необходимые для выполнения требований к продукции [7.1, перечисление а)], были установлены в соответствующих подразделениях и на соответствующих уровнях организации. Цели в области качества должны быть измеримыми и согласуемыми с политикой в области качества.

[ИСО 9001:2008] [2]

Примечания

1    Информацию о характеристиках процессов, связанных с программными продуктами, которые подходят для постановки целей могут быть найдены в ИСО/МЭК 15504-1. [12] ИСО/МЭК 15504 [15] (все части) можно использовать для оценки возможностей процессов и для постановки целей по улучшению характеристик процессов.

2    Информация по качественным характеристикам, их составляющим и свойствам программных продуктов, подходящая для установления целей в области качества, определена в ИСО/МЭК 25010. [26] Серия стандартов ИСО/МЭК 25000 помогает в определении требований к качеству и в управлении целей в области качества программных продуктов.

5.4.2 Планирование создания и развития системы менеджмента качества_

Высшее руководство должно обеспечивать:

a)    планирование создания, поддержания и улучшения системы менеджмента качества для выполнения требований 4.1, а также для достижения целей в области качества;

b)    сохранение целостности системы менеджмента качества при планировании и внедрении в нее изменений.

[ИСО 9001:2008] [2]

Планирование может осуществляться на организационном уровне и на уровне проек-та/продукта.

Планирование системы менеджмента качества на организационном уровне может включать следующее:

a)    определение подходящих моделей жизненного цикла программных продуктов, которые надлежит использовать для тех типов проекта, которые реализует организация, включая то, каким образом организация обычно внедряет процессы жизненного цикла программных продуктов;

b)    определение результатов деятельности по разработке программных средств, таких как документы, содержащие требования к программной продукции, документы по проектированию системной архитектуры, документы, содержащие подробные сведения по проектированию, машинная программа и документация для пользователей программных продуктов;

c)    определение содержимого планов по управлению программными продуктами, таких как планы по управлению проектом, связанным с выпуском программной продукции, планы по управлению конфигурацией программных продуктов, планы по верификации и валидации программных продуктов, планы по обеспечению качества программных продуктов и планы по обучению и профессиональной подготовке;

d)    определение того, как методы инжиниринга программных продуктов приспособлены и будут использованы для проектов организации в рамках жизненного цикла (см. 1.2);

e)    идентификация инструментальных средств и производственной среды для разработки, эксплуатации или сопровождения программных продуктов;

f)    конкретизация соглашений, принятых для использования языков программирования, например, правила программирования, библиотеки программного обеспечения и общая структура программных продуктов;

д) идентификация любого многократного или повторного использования программного продукта (см. также 7.5.4).

Представитель руководства организации должен принимать во внимание любое изменение, касающееся модели жизненного цикла программных продуктов, которое может затрагивать и оказывать

8

ГОСТ Р ИСО/МЭК 90003—2014

негативное влияние на систему менеджмента качества, и удостовериться в том, что такие изменения не ухудшают каких- либо средств или механизмов управления системы менеджмента качества.

Планирование качества программных продуктов на уровне проекта/ продукта рассматривается в

7.1.

5.5 Ответственность, полномочия и обмен информацией

5.5.1 Ответственность и полномочия

Для организации, производящей программные продукты, было бы полезно, чтобы представитель руководства имел опыт в области разработки программных продуктов.

5.5.3 Внутренний обмен информацией_

Высшее руководство должно обеспечивать установление в организации соответствующих процессов обмена информацией, включая информацию, относящуюся к результативности системы менеджмента качества.

[ИСО 9001:2008] [2]

5.6 Анализ со стороны руководства

5.6.1 Общие положения_

Высшее руководство должно анализировать через запланированные интервалы времени систему менеджмента качества организации в целях обеспечения ее постоянной пригодности, достаточности и результативности. Этот анализ должен включать в себя оценку возможностей улучшений и потребности в изменениях в системе менеджмента качества организации, в том числе в политике и целях в области качества.

Записи об анализе со стороны руководства должны поддерживаться в рабочем состоянии (4.2.4).

[ИСО 9001:2008] [2]

9

Для 5.6.2 с) ИСО 9001:2008 [2] предлагается руководство согласно следующему:

-    один из способов измерения показателей результативности процессов состоит в выполнении оценок процессов, связанных с программными продуктами (см. 8.2.3). Результаты оценок таких процессов должны рассматриваться в качестве входных данных для анализов со стороны руководства;

-    один из способов измерения соответствия продукции состоит в оценивании пригодности программных продуктов (см. 8.2.4). Результаты таких оценок программных продуктов должны рассматриваться в качестве входных данных для анализа со стороны руководства.

5.6.3 Выходные данные анализа_

Выходные данные анализа со стороны руководства должны включать в себя все решения и действия, относящиеся:

a)    к повышению результативности системы менеджмента качества и ее процессов;

b)    к улучшению продукции по отношению к требованиям потребителей;

c)    к потребности в ресурсах.

[ИСО 9001:2008] [2]

6 Менеджмент ресурсов

6.1 Обеспечение ресурсами

6.2. Человеческие ресурсы

6.2.1 Общие положения_

Персонал, выполняющий работу, влияющую на соответствие продукции требованиям, должен быть компетентным на основе полученного образования, подготовки, навыков и опыта.

Примечание — На соответствие продукции требованиям прямо или косвенно может влиять персонал, выполняющий любую работу в рамках системы менеджмента качества.

[ИСО 9001:2008] [2]

Примечание — Для получения дополнительной информации см. 6.2.4 (процесс менеджмента человеческими ресурсами) ИСО/МЭК 12207:2008 [7].

ГОСТ Р ИСО/МЭК 90003—2014

6.2.2 Компетентность, подготовка и осведомленность

Потребности, связанные с профессиональной подготовкой персонала, нужно определять на основе изучения требований, методов проектирования, заданных машинных языков, инструментальных средств, программ и машинных ресурсов, которые планируется использовать в ходе разработки и управления проекгом/программным продуктом. Может быть также полезным включение профессиональной подготовки персонала в квалификационные навыки и знания для конкретной области, в пределах которой применяют данный программный продукт, и в другую тематику, такую как управление проектом.

Специальные приемы/технологии, применяемые в процессах разработки, эксплуатации и сопровождения программных продуктов должны постоянно отслеживаться и оцениваться в целях определения требований для повышения квалификации персонала.

Форма обучения может не ограничиваться традиционными курсами подготовки, а также включать семинары в группах, обучение с помощью компьютерной техники и программ, самообразование, обучение под руководством наставника, обучение в процессе работы или интерактивные методы с использованием сетевых ресурсов.

Оценка результативности обучения/подготовки может выполняться с использованием измерений продукции и процессов, определяя области для улучшения показателей работы каждого сотрудника (среди других областей для улучшения деятельности).

6.3 Инфраструктура

Инфраструктура включает оборудование, технические и программные средства, инструмент и рабочие помещения для разработки, эксплуатации или сопровождения программных продуктов.

Инфраструктура может включать программные средства, обеспечивающие реализацию процесса проектирования и разработки, включая следующее:

a)    программные средства, как например для анализа, проектирования и разработки, управления конфигурацией, тестирования, управления проектом, документирования, создания или усовершенствования машинных программ;

b)    прикладные программы и системы конфигураций в области разработки и технического обеспечения;

c)    менеджмент знаний, внутрисетевые (локальная интрасеть) и внешнесетевые (экстра-сеть) ресурсы;

d)    сетевые средства, включая средства защиты данных от несанкционированного доступа, средства резервного копирования, защиты от вирусов, защиты корпоративных компьютерных сетей от несанкционированного доступа;

e)    справочные меню и средства сопровождения;

11

f) средства управления доступом;

д) архивные библиотеки программного обеспечения;

h) средства операционного контроля, как например, для сетевого мониторинга, управления системами и управления хранением.

Для программных средств и программ, независимо от того разрабатываются ли они внутри организации или закупаются извне, организация должна проводить их оценку на пригодность своему назначению. Средства, используемые при внедрении продукта, такие как, например, средства анализа и средства проектирования и разработки, компиляторы и сборщики/ассемблеры, перед тем как начинать их использовать должны быть оценены, одобрены и занять свое место согласно соответствующему уровню управления конфигурацией. Область использования таких средств и программ может быть документально оформлена с необходимым руководством, и их использование анализироваться, насколько это возможно, для определения того, требуют ли данные средства и программы усовершенствования и/или обновления.

Примечание —Для получения дополнительной информации см. следующее:

-    6.2.2 (процесс создания инфраструктуры) ИСО/МЭК 12207:2008 [7];

-    ИСО/МЭК 25001 (заказ) [25] и ИСО/МЭК 25040 [28] (оценка программного продукта);

-    ИСО/МЭК 14102:2008 [8].

6.4 Производственная среда

Организация должна создавать производственную среду, необходимую для достижения соответствия требованиям к продукции, и управлять ею.

Примечание — Термин «производственная среда» относится к условиям, в которых выполняют работу, включая физические, экологические и другие факторы (такие как шум, температура, влажность, освещенность или погодные условия).

[ИСО 9001:2008] [2]

7 Процессы жизненного цикла продукции

7.1 Планирование процессов жизненного цикла продукции

12

ГОСТ Р ИСО/МЭК 90003—2014

7.1.1    Жизненный цикл программных продуктов

Необходимо планировать и осуществлять процессы, действия и задачи, используя модели жизненного цикла, отвечающие специфике проекта, связанного с выпуском программного продукта, рассматривая его масштаб, сложность, безопасность, риски и обеспечение сохранности. ИСО 9001:2008 [2] предназначен для применения независимо от того, какие модели жизненного цикла используются, и не ставит перед собой цель по указанию какой-либо конкретной модели или последовательности процессов.

Процесс проектирования и разработки может быть процессом эволюционного типа и вследствие этого процедуры могут нуждаться во внесении изменений или актуализации по мере развития и реализации проекта после рассмотрения и анализа изменений в отношении соответствующих действий и задач.

Необходимо рассмотреть пригодность и применимость метода проектирования и разработки для данного типа задачи, продукта или проекта и совместимость прикладной системы, методов и средств, которые предстоит использовать. Для продуктов, сбой или неисправность в работе которых может нанести вред или угрожать здоровью людей, а также собственности или окружающей среде, в процессе их проектирования и разработки должно обеспечиваться определение специальных требований к проектированию и разработке, которые устанавливают требуемую защищенность и меры по реагированию в случае условий, связанных с неисправной работой или сбоем в работе.

Планирование разработки программных продуктов должно иметь своим следствием определение того, какие продукты будут производиться, а также того, кем и когда они будут производиться (см. 7.3.1). Планирование качества программных продуктов на уровне проекта/продукции должно иметь своим следствием описание того, каким образом рассматриваемые продукты будут разрабатываться, оцениваться или сопровождаться.

7.1.2    Планирование качества

Планирование качества обеспечивает средства/способы для приспособления и ориентирования применения системы менеджмента качества на конкретный проект, продукт или контракт. Планирование качества может включать или содержать ссылки на универсальные и/или на специальные связанные с определенным проектом/ продуктом или контрактом процедуры, насколько это уместно или применимо. По мере развертывания и реализации мероприятий, связанных с проектированием и разработкой, нужно повторно обращаться к аспектам, связанным с планированием качества, и вопросы, рассматриваемые на каждой стадии, должны быть полностью определены к моменту начала реализации данной стадии. Аспекты, связанные с планированием качества, могут анализироваться и согласовываться всеми организациями, причастными к их внедрению, насколько это уместно.

Примечания

1    Документ, содержащий описание аспектов, связанных с планированием качества, может быть отдельным документом (озаглавленный планом по качеству) или быть составной частью другого документа или же составлять несколько документов, включая план по проектированию и разработке.

2    ИСО/МЭК 12207:2008 [7] содержит положения по планированию качества и разработки как отдельного вида деятельности по планированию, приводящего к созданию плана/планов по управлению проектом. В приложении В представлена таблица соответствия для демонстрации того, как согласуются положения, изложенные в

7.1.1 и 7.1.3, с соответствующими положениями в 6.1.2.3.4.5, 7.1.1.3.1.4 и 7.2.3.3.1.3 ИСО/МЭК 12207:2008 [7].

При планировании качества программных продуктов на проектном уровне должно присутствовать следующее:

a)    включение или ссылка на планы для разработки (см. 7.3.1);

b)    требования к качеству, относящиеся к продукции и/или процессам;

c)    применяемая система менеджмента качества и/или идентификация конкретных процедур и инструкций, соответствующих применительно к области применения руководства по качеству и любым объявленным исключениям.

[ИСО 9001:2008, 1.2];

d)    процедуры и инструкции, относящиеся к заданному проекту, как например, спецификации для испытания программных продуктов, включающие подробные описания планов, схем, обстоятельств и процедур испытаний для модуля, сборочной единицы, системы, и приемо-сдаточные испытания (см. 8.2.4);

e)    методы, модель/модели жизненного цикла, инструментальные средства, правила или соглашения, касающиеся машинных языков, архивные библиотеки программного обеспечения, общие схемы и другие средства многократного пользования, которые должны использоваться в проекте;

13

f) критерии для запуска и завершения каждой проектной стадии;

д) типы анализа и другие действия по верификации и валидации, которые планируется осуществлять (см. 7.3.4, 7.3.5 и 7.3.6);

h)    запланированные для проведения процедуры по управлению конфигурацией (см. 7.5.3);

i)    запланированные действия по мониторингу и измерению;

j)    лицо/лица, ответственные за одобрение выходных данных процессов для последующего использования;

k)    потребности в обучении и профессиональной подготовке для использования инструментальных средств, методик и программ, и составление графиков мероприятий по обучению до того, как возникнет необходимость в использовании требуемых навыков;

l)    записи, которые надлежит вести и поддерживать (см. 4.2.4);

т) управление изменениями, например, касающимися ресурсов, сроков реализации и контрактов.

Планирование качества, пусть даже в сокращенном формате, особенно полезно для уточнения целей по качеству, ограниченных специальной областью, для программных продуктов, предназначенных для ограниченного назначения. Примеры программных средств с ограниченным назначением включают демонстрационные образцы или макеты в подтверждение концепции (концепт-модели), исследовательские выкладки, используемые только их проектировщиком, промежуточные решения, где отсутствуют элементы/функции, такие как защита от несанкционированного доступа или имеющие неполный набор функциональных возможностей, которые в полном объеме будут внедрены в будущем продукте, а также исследовательские отчеты для одноразового использования.

Программные средства ограниченного назначения должны тестироваться теми способами, которые совместимы с их планируемым использованием, с тем, чтобы уменьшить вероятность возникновения непредусмотренных отказов и ошибок.

Примечание — Для дополнительного руководства общего характера, относящегося к 7.1 ИСО 9001:2008 [2], см. следующее:

-    6.3.1 (процесс планирования проекта), и 7.2 (вспомогательные процессы для жизненного цикла программных продуктов) ИСО/МЭК 12207:2008 [7];

-    ИСО/МЭК 25010:2011 [26];

-    ИСО/МЭК 25001:2007 [25];

-    ИСО/МЭК 16326:2009 [19];

7.2 Процессы, связанные с потребителями

7.2.1 Определение требований, относящихся к продукции_

Организация должна определить:

a)    требования, установленные потребителями, включая требования к поставке и деятельности после поставки;

b)    требования, не определенные потребителем, но необходимые для конкретного или предполагаемого использования,когда оно известно;

c)    законодательные и другие обязательные требования, применимые к продукции;

d)    любые дополнительные требования, рассматриваемые организацией как необходимые.

Примечание — Деятельность после поставки может включать в себя действия по гарантийному обеспечению, контрактным обязательствам, таким как услуги по техническому обслуживанию, и дополнительные услуги, такие как утилизация или полное уничтожение.

[ИСО 9001:2008] [2]

7.2.1.1 Требования, относящиеся к потребителям [7.2.1 а) и Ь) ИСО 9001:2008] [2].

Программный продукт может быть разработан как составная часть контракта, как отдельный продукт, предназначенный для поступления на потребительский рынок, как программное средство, встроенное в систему, или как программное обеспечение бизнес-процессов организации. Положение стандарта, касающееся определения требований, применимо во всех этих случаях.

Конкретные действия могут включать:

а) учреждение для разработки требований следующего:

ГОСТ Р ИСО/МЭК 90003—2014

1)    методов для согласования и одобрения требований, а также для санкционирования и отслеживания изменений, особенно во время повторяющихся циклов, связанных с разработкой,

2)    методов для оценивания прототипов или демонстрационных образцов, где это используется,

3)    методы для записывания и анализа результатов обсуждения, полученных от всех участвующих сторон;

b)    разработку требований в тесном сотрудничестве с потребителем или пользователями и действия, направленные на предотвращение недоразумений или неправильного понимания, например, посредством формулирования определений терминов или предоставления разъяснений в отношении происхождения требований;

c)    получение одобрения потребителем требований;

d)    учреждение метода для обеспечения прослеживаемости требований применительно к готовому продукту (как например, таблица по прослеживаемости требований).

Требования могут поступать от потребителя, разрабатываться самой организацией или же разрабатываться совместными усилиями.

В случае, когда требования вырабатываются и согласовываются в форме спецификации на системы, должны использоваться методы, позволяющие распределять эти требования применительно к номенклатуре технических и программных средств вместе с любыми необходимыми спецификациями на интерфейсы. Работа по внесению изменений в эти требования должна находиться под контролем и осуществляться в управляемых условиях. При внесении изменений в требования может понадобиться внести соответствующие поправки в контракт.

В ситуациях, связанных с контрактными обязательствами, эти требования могут быть определены не до конца на момент подписания контракта, и допускается разработка некоторых из этих требований по ходу реализации проекта.

Требования могут потребовать учета условий производственной среды. Требования могут включать, но не ограничиваться такими характеристиками как: функциональность, надежность, применимость, эффективность, ремонтопригодность и транспортабельность. Другие характеристики могут заданы, например, исходя из обязательств в области защиты данных от несанкционированного доступа, техники безопасности, а также законодательных требований. Некоторые из этих характеристик могут быть критическими с точки зрения техники безопасности и/или стратегических целей организации.

В случае, когда для программных продуктов необходимо сопряжение с другими программными или системными средствами, то в данных требованиях, в той степени насколько это возможно, должны быть указаны либо напрямую или посредством соответствующих ссылок необходимые интерфейсы (средства сопряжения) между программным продуктом, подлежащим разработке, и другими программными или системными продуктами.

Требования должны быть выражены в ясных и однозначных для понимания терминах, облегчающих проведение валидации в ходе приемки продукции. Требования должны быть прослеживаемы на протяжении всего жизненного цикла разработки (см. 7.5.3).

7.2.1.2 Дополнительные требования, определенные организацией [7.2.1 d) ИСО 9001:2008] [2]

Примечания

1    Для получения дополнительной информации по 7.2.1.1 см. следующее:

-    6.4.2 (процесс анализа требований к системе), 6.4.3 (процесс разработки архитектуры системы), и 7.1.2 (анализ требований к программным продуктам) ИСО/МЭК 12207:2008 [7];

-ИСО/МЭК 29148:2011 [31];

-ИСО/МЭК 25010:2011 [26];

-    ИСО/МЭК 15026-3:2011 [11].

2    Для получения дополнительной информации по 7.2.1.2 см. ИСО/МЭК 25051:2006 [29].

15

ГОСТ Р ИСО/МЭК 90003—2014

7.2.2.1 Вопросы, рассматриваемые организацией

Вопросы, которые может понадобиться рассматривать в ходе проводимого организацией анализа тендеров, контрактов или заказов, связанных с программными продуктами, могут включать, но не ограничиваться следующими вопросами:

a)    реализуемость задачи по обеспечению соответствия и валидации требований и характеристик продукции, включая осуществление идентификации требуемых характеристик программных продуктов (например, функциональность, надежность, применимость, удобство эксплуатации и ремонтопригодность, транспортабельность и эффективность);

b)    стандарты и процедуры в области проектирования и разработки программных продуктов, которые предстоит использовать;

c)    идентификация оборудования и средств обслуживания, инструментальных средств, программных элементов и данных, предоставляемых потребителем, определение и документирование методов для оценки их пригодности для использования;

d)    операционная система или базовые аппаратные средства;

e)    соглашение по контролю и управлению внешними интерфейсами с программным продуктом;

f)    требования по тиражированию и распространению;

д) вопросы, касающиеся потребителя:

1)    процессы жизненного цикла, задаваемые потребителем;

2)    период времени, в течение которого организация обязана поставлять копии и способность продукта, связанная со считыванием мастер- копий;

h)    вопросы, касающиеся менеджмента:

1)    должно рассматриваться управление рисками (см. также 7.2.2.2);

2)    ответственность организации за работу, выполняемую субподрядчиками;

3)    составление плановых графиков по реализации мероприятий, достижения поставленных целей и результатов, осуществления технических пересмотров;

4)    требования к инсталляции, сопровождению и организационно — техническому обеспечению;

5)    своевременное наличие технических, человеческих и финансовых ресурсов;

i)    аспекты, касающиеся соблюдения законодательства, обеспечения защиты от несанкционированного доступа и конфиденциальности данных:

1) информация, с которой приходится иметь дело по контракту, может быть связана с правами на интеллектуальную собственность, с лицензионными соглашениями, законодательными и дру-

16

ГОСТ Р ИСО/МЭК 90003—2014

Содержание

1    Область применения.....................................................................................................................................1

1.1    Общие положения..................................................................................................................................1

1.2    Применение.............................................................................................................................................2

2    Нормативные ссылки.....................................................................................................................................2

3    Термины и определения...............................................................................................................................2

4    Система менеджмента качества..................................................................................................................4

4.1    Общие требования.................................................................................................................................4

4.2    Требования к документации..................................................................................................................5

5    Ответственность руководства......................................................................................................................7

5.1    Обязательства руководства..................................................................................................................7

5.2    Ориентация на потребителя..................................................................................................................7

5.3    Политика в области качества................................................................................................................7

5.4    Планирование.........................................................................................................................................8

5.5    Ответственность, полномочия и обмен информацией.......................................................................9

5.6    Анализ со стороны руководства............................................................................................................9

6    Менеджмент ресурсов.................................................................................................................................10

6.1    Обеспечение ресурсами......................................................................................................................10

6.2. Человеческие ресурсы........................................................................................................................10

6.3    Инфраструктура....................................................................................................................................11

6.4    Производственная среда.....................................................................................................................12

7    Процессы жизненного цикла продукции....................................................................................................12

7.1    Планирование процессов жизненного цикла продукции...................................................................12

7.2    Процессы, связанные с потребителями.............................................................................................14

7.3    Проектирование и разработка.............................................................................................................19

7.4    Закупки...................................................................................................................................................26

7.5    Производство и обслуживание............................................................................................................29

7.6    Управление оборудованием для мониторинга и измерений............................................................34

8    Измерение, анализ и улучшение................................................................................................................35

8.1    Общие положения................................................................................................................................35

8.2    Мониторинг и измерение......................................................................................................................36

8.3    Управление несоответствующей продукцией....................................................................................38

8.4    Анализ данных......................................................................................................................................39

8.5    Улучшение.............................................................................................................................................39

Приложение А (справочное) Краткие руководящие указания по применению ИСО 9001:2008,

имеющиеся в стандартах ИСО/МЭК JTC1/SC 7 и ИСО/ТК 176.......................................41

Приложение В (справочное) Планирование в настоящем стандарте и ИСО/МЭК 12207 .......................43

Приложение ДА (справочное) Сведения о соответствии ссылочных международных стандартов национальным стандартам Российской Федерации (и действующим в этом

качестве межгосударственным стандартам).....................................................................49

Библиография.................................................................................................................................................51

ГОСТ Р ИСО/МЭК 90003—2014

гими обязательными требованиями, с конфиденциальностью и защитой информации, включая патенты и права на выпуск программных продуктов;

2)    охрана эталонного экземпляра (мастер-копии) продукта и прав потребителя на доступ или верификацию данного экземпляра;

3)    уровень разглашения информации потребителю должен оговариваться и согласовываться сторонами на обоюдной основе;

4)    определение гарантийных сроков;

5)    обязательства/наказания, связанные с нарушением контрактных требований.

7.2.2.2    Риски

При анализе требований, относящихся к продукту, могут учитываться следующие риски:

a)    вопросы, связанные с серьезностью и вероятностью опасности, с техникой безопасности и с защитой данных от несанкционированного доступа;

b)    возможности и опыт организации или ее поставщиков;

c)    надежность или достоверность оценок, связанных с ресурсами, и время, требуемое для выполнения каждой работы;

d)    существенные расхождения между сроками, требуемыми для поставки продуктов или услуг, и сроками, определенными из планов, благодаря оптимизации затрат и целям в области качества;

e)    значительный территориальный разброс организации, ее потребителей, пользователей и поставщиков;

f)    новшества высокого технического уровня, включающие новые методы, инструментальные средства, технологии и поставляемые программные средства;

д) низкое качество или полезность поставляемых программных и инструментальных средств;

h) низкая точность, правильность и стабильность определения требований потребителей и внешних интерфейсов.

Необходимо оценивать последствия, связанные с любыми контрактными изменениями, касающимися ресурсов, сроков выполнения мероприятий и затрат, в частности изменениями в отношении области применения, функциональных возможностей или рисков. Вышеуказанные вопросы должны повторно рассматриваться и оцениваться по мере возможностей или потребности.

7.2.2.3    Представитель потребителя

По контракту на потребителя могут возлагаться определенные обязанности. Отдельные вопросы могут требовать от потребителя сотрудничать с организацией в части своевременного предоставления необходимой информации и действий по решению вопросов, связанных с изделиями. В случае обязанностей, связанных с мониторингом процессов жизненного цикла, представитель потребителя может быть связанным с возможными пользователями продукта, а также с соответствующим регулирующим органом, и может иметь необходимые полномочия для рассмотрения и обсуждения контрактных вопросов, включающих, но не ограничивающихся следующим:

a)    принятие мер по поставляемым потребителем программным устройствам, данным, оборудованию и инструментальным средствам, которые оказались непригодными для использования;

b)    организация обращения к конечным пользователям в тех случаях, когда это представляется необходимым.

Анализ требований может быть выполнен внутренними или внешними организациями. Это может включать мероприятия по анализу требований, относящихся к контрактам, инжинирингу, сопровождению или качеству.

Примечание — Для получения дополнительной информации в отношении анализа требований см.

6.1.2 (процесс поставок), 6.1.2.3.4.14 (верификация) и 7.2.6 (процесс анализа) ИСО/МЭК:2008 [7]. Для получения дополнительной информации по требованиям и инженирингу по выявлению, анализу верификации и валидации требований потребителей см. ИСО/МЭК 29148 [31]. Для получения дополнительной информации по менеджменту рисками см. 6.3.4 (менеджмент рисков) ИСО/МЭК 12207:2008 [7] и ИСО/МЭК 16085:2006 [18]. Для получения дополнительной информации по анализу требований к качеству, используя качественные характеристики, см. ИСО/МЭК 25010:2011 [26].

17

Введение

Настоящий стандарт является руководящим указанием для организаций по применению ИСО 9001:2008 к процессам, связанным с заказом, поставкой, разработкой, эксплуатацией и сопровождением программных продуктов.

Настоящий стандарт определяет вопросы, которые нужно рассматривать, и его применимость не зависит от технологий, моделей жизненного цикла, процессов в области разработки, последовательности действий и организационной структуры, которые используются организацией. Предлагаемые руководящие указания и определенные к рассмотрению вопросы предполагают обстоятельный и многосторонний, но не исчерпывающий охват изучаемого предмета. В случае когда область деятельности организации охватывает области, отличные от разработки программных продуктов, взаимосвязь между элементами системы менеджмента качества организации, имеющими отношение к программным продуктам, и остальными аспектами необходимо четко документировать в рамках системы менеджмента качества в как итоговую совокупность.

Разделы 4, 5 и 6 и составные части раздела 8 ИСО 9001:2008 применимы преимущественно на «глобальном» уровне в организации, хотя они могут иметь желательный результат и на «проект-ном/программном уровне». Каждый проект или разработка продукции может учитывать или ориентироваться на соответствующие элементы системы менеджмента качества организации для обеспечения соответствия требованиям, относящимся к реализуемому проекту/выпускаемой продукции.

В тексте ИСО 9001:2008 глагол «должен» используется для обозначения того, что положение документа является обязательным к исполнению между двумя или несколькими сторонами, глагол «следует» — для обозначения рекомендации между имеющимися возможностями и «может» — для указания линии поведения, разрешаемого в рамках ИСО 9001:2008. Настоящий стандарт содержит руководящие указания, предназначенные для оказания помощи в понимании того, как положения ИСО 9001:2008 применяются к разработке программных продуктов.

Организации, внедрившие системы менеджмента качества для разработки, осуществления эксплуатации или сопровождения программных продуктов на основе положений настоящего стандарта, могут принимать решение об использовании процессов из ИСО/МЭК 12207 в целях обеспечения или дополнения модели процессного подхода ИСО 9001:2008. Соответствующие параграфы ИСО/МЭК 12207:2008 указаны в каждом разделе настоящего стандарта, однако они не заключают в себе требования в дополнение к тем требованиям, что имеются в ИСО 9001:2008. Дальнейшее руководство с указаниями по применению ИСО/МЭК 12207 содержится в ИСО/МЭК 24748-3. Что касается дополнительного руководства ИСО/МЭК JTC 1/SC7 вырабатывает регулярные сообщения применительно к международным стандартам для разработки программных продуктов. В случаях когда эти сообщения (ссылки) относятся непосредственно к какому-либо пункту или подпункту ИСО 9001:2008, они помещаются после руководящих указаний для данного пункта или подпункта. В случае когда они применяются повсеместно в положениях пункта или подпункта, эти ссылки помещают в конце заключительной части пункта или подпункта.

В тех местах настоящего стандарта, где текст был приведен из ИСО 9001:2008, данный текст в целях облегчения его идентификации заключен в рамку.

IV

НАЦИОНАЛЬНЫЙ СТАНДАРТ РОССИЙСКОЙ ФЕДЕРАЦИИ

РАЗРАБОТКА ПРОГРАММНЫХ ПРОДУКТОВ

Руководящие указания по применению ИСО 9001:2008 при разработке программных продуктов

Software engineering. Guidelines for the application of ISO 9001:2008 to computer software

Дата введения — 2016—01—01

1 Область применения

1.1 Общие положения

Настоящий стандарт предлагает для организаций руководящие указания по применению ИСО 9001:2008 к процессам, связанным с заказом, поставкой, разработкой, осуществлением эксплуатации и сопровождением программных продуктов и к связанным с этими процессами сервисным обслуживанием. Он не добавляет или каким-либо иным другим образом не изменяет требования ИСО 9001:2008.

В приложении А (справочном) представлена таблица с дополнительными указаниями по внедрению ИСО 9001:2008, имеющимися в международных стандартах, разработанных ИСО/МЭК JTC 1/SC7 и ИСО/ТК 176.

Руководящие указания, представленные в настоящем стандарте, не предназначены для применения в качестве оценочных критериев при проведении мероприятий, связанных с регистраци-ей/сертификацией систем менеджмента качества.

Издание официальное

ГОСТ Р ИСО/МЭК 90003—2014

1.2 Применение

Настоящий стандарт применим к программным продуктам, которые:

-    являются элементом коммерческого контракта, заключенного с другой организацией;

-    представляют собой продукцию, предназначенную для продажи на потребительском рынке;

-    используются для обеспечения реализации процессов организации;

-    встроены в техническую продукцию/оборудование, и

-    относятся к программным услугам.

Некоторые организации могут осуществлять все вышеуказанные действия; другие могут специализироваться в одной области. В любой ситуации рекомендуется, чтобы система менеджмента качества организации охватывала все аспекты (связанные с программными и непрограммными средствами) деятельности организации.

2 Нормативные ссылки

3 Термины и определения

В настоящем стандарте применены термины и определения, данные в ИСО 9000:2005 [1], и некоторые термины (включенные в настоящий стандарт для удобства пользования), данные в ИСО/МЭК 12207:2008 [7].

Однако в тех случаях, когда возникают противоречия в терминах и определениях, следует применять термины и определения, установленные в ИСО 9000:2005 [1].

Примечание — ИСО/МЭК 12207:2008 [7] содержит подробные положения для процессов жизненного цикла программных продуктов. Настоящий стандарт ссылается на термины, установленные в названном стандарте.

3.1    деятельность (activity): Совокупность взаимосвязанных задач по реализации процесса. [ИСО/МЭК 12207:2008, 4.3]

3.2    базовая линия (baseline): Официально принятая версия элемента конфигурации, независимая от среды, формально обозначенная и зафиксированная в конкретный момент времени жизненного цикла элемента конфигурации.

[ИСО/МЭК 12207:2008, 4.6]

ГОСТ Р ИСО/МЭК 90003—2014

3.3    элемент конфигурации (configuration item): Объект внутри конфигурации, который удовлетворяет функции конечного использования и может быть однозначно определен в данной эталонной точке.

[ИСО/МЭК 12207:2008, 4.7]

3.4    COTS (COTS Commercial-Off-The-Shelf) (предназначенный для продажи готовый продукт): Программный продукт, имеющийся в продажи, который может быть использован без выполнения действий, связанных с разработкой.

3.5    разработка (implementation): Процесс жизненного цикла программного продукта, состоящий из действий по изучению требований, проектированию, программированию, интеграции, тестированию, инсталляции и обеспечению приемки программных продуктов.

3.6    модель жизненного цикла (life cycle model): Структура, состоящая из процессов, работ и задач, относящихся к жизненному циклу программного продукта, который может быть разделен на этапы, и которая используется для лучшего взаимопонимания.

Примечание —Требования ИСО 9001:2008 [2] могли бы применяться к сопровождению, только если это обусловлено контрактными требованиями, после приемки продукта потребителем. Однако, как правило, эти требования не применяются к деятельности по сопровождению.

[ИСО/МЭК 12207:2008, 4.17]

3.7    измерять (measure): Проводить измерение.

[ИСО/МЭК 15939:2007, 2.16]

3.8    мера измерения (measure): Переменная, которой присваивается значение, полученное в результате проведения измерения.

[ИСО/МЭК 15939:2007, 2.15]

3.9    измерение (measurement): Совокупность операций, предназначенных для определения числового значения переменной, выраженной в заданных единицах измерения.

[ИСО/МЭК 15939:2007, 2.17]

3.10    процесс (process): Совокупность взаимосвязанных или взаимодействующих видов деятельности, преобразующая входы в выходы.

Примечание — Входами к процессу обычно являются выходы других процессов.

[ИСО 9000:2008, 3.4.1]

3.11    регрессивное тестирование (regression testing): Тестирование, требуемое для определения того, что изменение в отношении какого либо компонента системы не сказалось негативным образом на функциональных возможностях, надежности или характеристиках и не привело к появлению дополнительных дефектов.

3.12    выпуск (release): Конкретная версия элемента конфигурации, которая доступна для реализации конкретной цели.

Пример — Тестируемый выпуск.

[ИСО/МЭК 12207:2008, 4.35]

3.13    тиражирование (replication): Копирование программного продукта с одного носителя на другой.

3.14    программный элемент (software item): Идентифицируемый компонент программного продукта.

3.15    программный продукт (software product): Набор машинных программ, процедур и возможно связанных с ними документации и данных.

Примечания

1    Программный продукт может предназначаться для доставки в качестве неотъемлемой части другого продукта или быть использован в ходе разработки.

2    Отличается от определения ИСО 9000.

3    В настоящем стандарте термины «software» и «software product» являются синонимами.

[ИСО/МЭК 12207:2008, 4.4.2]

3

ГОСТ Р ИСО/МЭК 90003—2014

-    ИСО/МЭК 12207:2008 [7] (процессы жизненного цикла программных продуктов), который определяет набор процессов жизненного цикла продукции и который можно использовать в качестве образца;

-    ИСО/МЭК/ТО 24748-1 [23] и ИСО/МЭК/ТО 24748-3, [24] которые дают руководство в отношении того, каким образом использовать процессы из ИСО/МЭК 12207 применительно к различным жизненным циклам.

4.2 Требования к документации

4.2.1 Общие положения_

Документация системы менеджмента качества должна включать в себя:

a)    документально оформленные заявления о политике и целях в области качества;

b)    руководство по качеству;

c)    документированные процедуры и записи, требуемые настоящим стандартом;

d)    документы, включая записи, определенные организацией как необходимые ей для обеспечения эффективного планирования, осуществления процессов и управления ими.

Примечания

1    Там, где в настоящем стандарте встречается термин «документированная процедура», это означает, что процедура разработана, документально оформлена, внедрена и поддержива-ется в рабочем состоянии. Один документ может содержать требования одной или более процедуры Требование о наличии документированной процедуры может быть реализовано более чем одним документом.

2    Степень документированное™ системы менеджмента качества одной организации может отличаться от степени документированное™ другой в зависимости:

a)    от размера организации и вида деятельности;

b)    от сложности и взаимодействия процессов;

c)    от компетентности персонала.

3    Документация может быть в любой форме и на любом носителе.

[ИСО 9001:2008] [2]

Документы для осуществления результативного планирования, эксплуатации и управления процессами для программных продуктов [4.2.1 d) ИСО 9001:2008] могут охватывать следующее:

1)    описания процессов, например процессов, идентифицированных в ходе внедрения 4.1;

2)    описания процедурных инструкций и/или используемых образцов;

3)    описания используемых моделей жизненного цикла, например моделей каскадного, инкрементного и эволюционного типа;

4)    описания инструментальных средств, программ, технологий и методов, например, которые были идентифицированы при внедрении 4.1;

5)    технические темы, такие как стандарты или документы, содержащие руководящие указания для программирования, проектирования и разработки, а также для тестирования.

Примечание — Для получения дополнительной информации по идентификации документации как элемента управления конфигурацией (см. 7.5.3).

4.2.2 Руководство по качеству_

Организация должна разработать и поддерживать в рабочем состоянии руководство по качеству, содержащее:

a)    область применения системы менеджмента качества, включая подробности и обоснование любых исключений (1.2);

b)    документированные процедуры, разработанные для системы менеджмента качества, или ссылки на них;

c)    описание взаимодействия процессов системы менеджмента качества.

[ИСО 9001:2008] [2]

5

ГОСТ Р ИСО/МЭК 90003—2014

Примечание — Для получения дополнительной информации по идентификации документации как элемента управления конфигурацией (см. 7.5.3).

4.2.4 Управление записями_

Записи, установленные для представления свидетельств соответствия требованиям и результативного функционирования системы менеджмента качества, должны находиться под управлением.

Организация должна установить документированную процедуру для определения средств управления, необходимых для идентификации, хранения, защиты, восстановления, сохранения и

изъятия записей.

Записи должны оставаться четкими, легко идентифицируемыми и восстанавливаемыми.

[ИСО 9001:2008] [2]

4.2.4.1    Свидетельство соответствия требованиям

Свидетельство соответствия требованиям может включать:

a)    документированные результаты испытаний;

b)    отчеты по проблемам, включая те, что относятся к проблемам, связанным с инструментальными средствами;

c)    заявки на проведение изменений;

d)    документы, снабженные комментариями;

e)    отчеты по аудитам и оценкам соответствия, и

f)    записи по результатам анализов и инспекционных проверок, как например, записи для анализов проекта, инспекционных проверок машинных программ и по результатам сквозного контроля.

4.2.4.2    Свидетельство результативного функционирования

Примеры свидетельств результативного функционирования системы менеджмента качества, могут включать, но не ограничиваться:

a)    изменениями (включая обоснование), относящимися к ресурсам (персонал, программные средства и оборудование);

b)    оценками, например, масштаб проекта и объем работ (персонал, затраты, график работ);

c)    как и почему были выбраны используемые инструментальные средства, методологии и поставщики;

d)    лицензионными соглашениями по программным продуктам (как для программных продуктов, поставляемых потребителям, так и для программных продуктов, закупаемых для обеспечения и содействия разработке);

e)    протоколами совещаний, и

f)    записями, связанными с выпусками программных продуктов.