Kurumsal Dayanıklılık İçin İş Sürekliliği Yönetimi
Altay ONUR,
Makine Y. Müh. / BVL Chapter Türkiye
altay.onur@gmail.com
Giriş
ISO 22301 standardı kurumsal kriz yönetiminde iş sürekliliğini sağlamak ve kesintilere karşı dayanıklılığı artırmak için uluslararası kabul görmüş en kapsamlı standartlardan biridir. Bu standart, kuruluşların beklenmedik kesintilere karşı hazırlıklı olmasını sağlamak amacıyla, kritik operasyonel fonksiyonlarını ve süreçlerini etkileyecek olaylara karşı istikrarı korumayı ve bu kritik faaliyetlerin sürdürülmesi için bir dizi çalışmayı gerektiren sistematik bir yaklaşım sunmaktadır.
ISO 22301’in Önemi
“Bir kuruluşun, bir kesinti sırasında önceden tanımlanmış kapasitede kabul edilebilir zaman çerçeveleri içinde ürün ve hizmetlerin sağlanmasına devam etme kabiliyeti” olarak tanımlanan iş sürekliliği ile ilgili standart; halen 2019 yayını olarak ISO 22301 “Güvenlik ve dayanıklılık – İş sürekliliği yönetim sistemleri – Gereklilikler” adı altında yürürlüktedir.
İş Sürekliliği Yönetim Sistemi (İSYS) standardı, kuruluşlarda olası kesintilere neden olabilecek istenmeyen olayları tanımlama, bunlara karşılık verme ve oluşabilecek riskleri analizi etme, değerlendirme ve yönetme imkânı sağlamakta ve tüm yönetim sistemi standartları için ortak bir temel ve kılavuz görevi gören, PUKÖ çevrimine uygun 10 maddelik Yüksek Seviyeli Yapı (HLS: High-Level Structure) içeriğine sahiptir.
ISO 22301 standardı, kuruluşların dayanıklılığını artırarak kesintilerden kaynaklanabilecek ürün ya da hizmet sunumlarındaki aksamaların/arızaların önüne geçerek, hızlıca toparlanmasını sağlamakta ve itibar kaybını önlemede önemli bir rol oynamaktadır. Risk yönetimi açısından proaktif yaklaşımlar geliştirerek, olay yönetimi, acil durum yönetimi, kriz ve afet yönetimi, iş etki analizleri (BIA), iş sürekliliği planları gibi bir dizi bileşen ile kritik fonksiyonların korunmasına odaklanmaktadır.
İş Sürekliliği Program Yönetimi
İş sürekliliği yönetiminin gerçekleşmesi için gereken İş Sürekliliği Program Yönetimi döngüsü, kuruluşun sürekli yönetim ve yönetişimini sağlamak amacıyla tasarlanmış altı aşamalı bir yaşam döngüsüdür.
İş Sürekliliği Program Yönetimi, üst yönetim tarafından desteklenen ve belirlenmiş amaçların gerçekleştirilmesini sağlamak ve sürdürmek için kaynak tahsis edilen, sürekli bir yönetim prosesidir. Sürekli iyileştirme prensibine dayanan bu döngü İSY’nin kuruluş kültürüne yerleştirilmesi sürecini temsil eder ve aşağıdaki elementlerden oluşmaktadır.
| Aşama | Başlık | Açıklama ve Ana Faaliyetler |
| 1. | İSY Program Yönetimi | Bu aşama, döngünün yönetimi ve amaçlarının belirlenmesini kapsar. İSY kapsamının ve politikasının belirlenmesi, organizasyonun hayata geçirilmesi ve ilgili tarafların (sözleşmeler) belirlenmesi bu programın elemanlarıdır. |
| 2. | Kuruluşu Anlamak | Kuruluşun varlığını sürdürebilmesi için gerekli olan ürün/hizmetleri ve bunları gerçekleştiren süreçleri belirleme aşamasıdır. Kritik süreçleri belirlemek (İş Etki Analizi – BIA) ve Risk Analizi temel faaliyetlerdir. |
| 3. | İSY Stratejisinin Belirlenmesi | Kritik süreçler ve riskleri değerlendirildikten sonra, iş öncelikleri ve İş Sürekliliğinin amaçları dikkate alınarak koruma ve kurtarma stratejileri oluşturulur. Bu stratejiler potansiyel iş kesintilerini göz önünde bulundurarak ve yönetim tarafından onaylanmış kurtarma stratejileri doğrultusunda gerekli planları hazırlamaya temel oluşturur. |
| 4. | İSY Tepkisi/Müdahalesi geliştirmek ve uygulamak | İş sürekliliği yönetiminin uygulanmasını ve gerekli planların geliştirilmesini içerir. Bu aşamada, İş Sürekliliği Planlarının (BCP) ve prosedürlerinin geliştirilmesi ve uygulanması yer alır. Bu planlar, kriz yönetimi planı, acil durum planı/tahliye, yeniden devreye alma planı (DRP) ve normalleşme planı (restarasyon) vb uygulamalardır. |
| 5. | Tatbikatlar, testler ve gözden geçirme | Hazırlanan planların gerçekçi bir ortamda çalıştığını doğrulamak ve eksiklikleri tespit etmek amacıyla denetim ve tatbikatların yapılması, iyileştirmenin gerçekleştirilmesi gerekir. Tatbikat ve test sonuçları ile denetim bulgularının analizi ve sürekli iyileştirme döngüsü ile üst yönetimin gözden geçirmesini içerir. |
| 6. | İSY’nin kuruluş kültürüne yerleştirilmesi | Bu aşama, İş Sürekliliği Yönetimi faaliyetlerinin eğitim, tatbikat, denetim ve gözden geçirme faaliyetleri ile desteklenerek gerçekleştirilmesi ve sürdürülmesini sağlar. Farkındalık oluşturma, bilgi ve yetkinlik kazandırma temel faaliyetlerdir. |
Bu döngü, sürekli olarak tekrarlanan ve her aşamanın bir sonraki aşamaya girdi sağladığı dinamik bir yönetim sistemini temsil eder. Tıpkı bir kalp grafiği (kardiyografi) gibi, İş Sürekliliği Yönetimi döngüsü de normal işletme durumundan bir kesinti olayına (kriz) düşüşü, ardından kurtarma planlarının (BCP) devreye girmesiyle minimum iş sürekliliği düzeyine ulaşmayı ve son olarak normale dönüşü (restorasyon) gösteren bir sürecin yönetimini hedefler.
İSYS’nin Kuruluşlara Sağladığı Faydalar ve Üstünlükler
- Risk yönetimi: Potansiyel tehditleri önceden belirleyerek etkiyi minimize eder ve kaynakları optimize eder.
- Operasyonel dayanıklılık: Herhangi bir kesintiye neden olacak olay durumunda kritik süreçleri tekrar toparlayarak sürdürmeyi sağlar, rekabet gücünü artırır.
- Paydaş güvenilirliği: Bu tür yönetim sistemi müşteriler ve yasal düzenleyiciler nezdinde ulusal ve uluslararası alanda güven oluşturur, uyum gösterir.
- Güçlendirilmiş tedarik zinciri yapısı: Kritik malzeme ve hizmetlerin tedariğinde kesinti süreleri kısaltılarak tedarikçi riskleri minimize edilir ve tedarik zinciri güçlendirilerek aksamaların önüne geçilir.
İş Sürekliliğine Hazırlıksız Kuruluşların Riskleri
FEMA (Federal Emergency Management Agency) raporlarına göre iş sürekliliği planı olmayan şirketlerin karşılaştıkları kesintilerde veri kaybı, finansal zarar ve itibar kaybı yaşadıkları, büyük kesintilerden sonra %90 oranında kuruluşun bir yıl içinde iflas ettikleri belirlenmiştir. Örnek olarak, tedarik zinciri kesintilerinde inşaat firmaları proje gecikmeleri ve maliyet artışlarıyla karşı karşıya kalmış, lojistik şirketleri ise doğal afet ve fırtınalarda iletişim kopukluğu nedeniyle müşteri kaybı yaşamışlardır.
NIS2 ve DORA Düzenlemeleri ve İş Sürekliliği İlişkisi
NIS2 (Network and Information Security 2) ve DORA (Digital Operational Resilience Act), Avrupa Birliği’nde siber güvenlik ve dijital operasyonel dayanıklılık alanlarında önemli düzenlemelerdir. Her ikisi de kuruluşların siber tehditlere ve operasyonel kesintilere karşı daha hazırlıklı olmalarını sağlamayı amaçlamakta, dolayısıyla güvenlik ve iş sürekliliği açısından bir dizi önlemler almayı gerektirmektedir.
DORA, Avrupa Birliği tarafından 2022 yılında kabul edilen bir düzenlemeyle, finansal sektörde dijital operasyonel dayanıklılığı sağlamaya yönelik bir çerçeve sunmaktadır. Finans sektörü başta olmak üzere, kuruluşların iş sürekliliği planlarını test etmelerini ve bu planların etkinliğine dair kanıt sunmalarını zorunlu kılarak ICT (Information and Communications Technology) dayanıklığını hedeflemektedir.
NIS2 direktifi ise Avrupa Birliği’nin siber güvenlik alanındaki düzenlemelerinden birisi olup kritik altyapılarda siber risk yönetimi, iş sürekliliği ve tedarikçi denetiminin yanı sıra bilgi güvenliği ve ağ güvenliği konusunda daha sıkı tedbirler alınmasını gerektirmektedir.
Tüm bu düzenlemeler, iş sürekliliğini sağlamak ve dijital operasyonlardaki aksamalardan kaynaklanabilecek zararları en aza indirmek için kritik öneme sahip olup her iki uygulama ISO 22301’i tamamlayıcı bir unsur olarak görmektedir.
Sonuç
DORA ve NIS2, Avrupa’daki yasal düzenlemeler olup belirli sektörlerdeki kurum ve kuruluşları uyumlu hale getirmeyi hedeflerken, ISO 22301 İş Sürekliliği Yönetim Sistemi standardı ise kuruluşların bu yasal gereksinimleri yerine getirmelerinde yardımcı olacak gereksinimleri tanımlamakta ve akredite belgelendirme kuruluşları tarafından kuruluşların sertifikalandırılması sağlanmaktadır.
Tüm bu hususlar dikkate alındığında finansal ve kritik alt yapıları işleten sektörlerde faaliyet gösteren kurum ve kuruluşların, operasyonel ve siber risklerle başa çıkabilmek için kapsamlı bir yaklaşım benimsemeleri gerektiği görülmektedir. Bu tür entegre uygulamaları ve yönetim sistemlerini bünyelerinde kurarak işleten ve sürekli iyileştiren organizasyonlar; paydaşlarına, müşterilerine ve düzenleyici makamlara karşı güvenilirlik ve güven sağlayacaklardır.
Altay ONUR,
Makine Y. Müh. / BVL Chapter Türkiye
altay.onur@gmail.com
Kaynakça:
- TS EN ISO 22301:2019 Güvenlik ve dayanıklılık – İş sürekliliği yönetim sistemleri – Gereklilikler
- https://www.cm-alliance.com/
- https://www.neumetric.com/journal/iso-22301-risk-assessment-framework-2979/
- https://www.qmii.com/case-studies-of-successful-iso-22301-implementation/
- https://www.dataguard.com/nis2/requirements/
- https://invenioit.com/continuity/4-real-life-business-continuity-examples/
- https://www.thebci.org/news/solving-the-top-5-iso-22301-challenges-with-ai.html