İş Sürekliliği Nedir? İş Sürekliliği Yönetim Sistemi Nedir?

İş sürekliliği; organizasyon, kurum yahut da kuruluşların değer yaratan faaliyetlerini, herhangi bir şekilde felaket, kriz ve afet durumunda önceden belirlenmiş olan seviyede yürütebilme becerisidir. İş sürekliliği herhangi bir şekilde deprem, sel, yıldırım düşmesi, sunucunun çökmesi, kritik personelin işten ayrılması yahut ekonomik kriz gibi durumda organizasyon, kurum yahut da kuruluşların kritik ürün, servis ve faaliyetlerini çok az şekilde zayiatla geçirmesini, kriz anına hazır bulunuşunu ifade ediyor.

Gerek organizasyonel güven, gerekse marka değerini yerle bir edecek durumları profesyonel bir şekilde yönetiyor. ISO 22301, BS 25999 yönetim sistemi standartlarının uygulanma prensiplerine verilen addır. Yani temelinde bir yönetim sistemi, politikaları, prosedürleri, talimatları ve bunlarla beraber raporlama ve takip yapısını, iç tetkik, yönetim gözden geçirme şeklinde bazı ana uygulama başlıklarını içerir.

İş Sürekliliği Yaklaşımı Nasıl Ortaya Çıktı?

İş Sürekliliği Yönetim Sistemi temelinde ISO 22301 standardında “Bir kuruluşa yönelik potansiyel tehditleri yahut gerçekleşmeleri durumunda bu tür tehditlerin iş operasyonlarına etkilerini tanımlamakta olan ve kuruluşun ana paydaşlarının çıkarlarını, temelinde itibarını, marka ve değer yaratma faaliyetlerini her daim korumaya yönelik bir müdahale kapasitesine sahip şekilde kurumsal bir direnç inşa etmenin ana çerçevesini sunan bütünsel yönetim süreci” şeklinde açıklanıyor.

Bu sistemin temel amacı işletmenin olağanüstü şekilde bir durum karşısında gerekecek müdahale kapasitesini her daim oluşturmaktır. ISO 22301 İş Sürekliliği Yönetim çalışanları, iş süreçlerini ve aynı zamanda bilgi teknolojileri (BT) dahil olmak şeklinde tüm teknoloji sistemlerini kapsamaktadır.

İş Sürekliliği konusunda en yaygın olarak kullanılan , “ISO 22313:2012 İş Sürekliliği Yönetimi Uygulama Prensipleri” standardıdır. Bu standart, içerisinde iş sürekliliği yönetimini her daim başlatmak, gerçekleştirmek, sürdürmek yahut iyileştirmek amacıyla genel prensipleri ve yönlendirici bilgileri ortaya koyar. ISO 22313:2012 rehber edinilerek İSYS’nin belgelendirmesi için “ISO 22301:2012 Sosyal – İş Sürekliliği Yönetim Uygulama Sistemleri – Gereksinimler” standardı her daim kullanılmaktadır.

Bu standart, edilmiş bir İş Sürekliliği Yönetim Sistemini kurumun iş riskleri bağlamında kurmak, gerçekleştirmek, gözden geçirmek, her zaman sürdürmek ve iyileştirmek için gereksinimleri kapsıyor. ISO22301 ve ISO22313 standartları iş sürekliliği temel konusunda en temel başvuru kaynaklarıdır. Teknik yahut da teknoloji bağımlı olan standartlar değildirler. Belli bir ürün yahut da bilgi teknolojisi ile ilgilenmezler. Kurumlar uygulayacağı yöntem ve bununla beraber teknolojileri seçmekte serbesttirler.

Teknik tarafta genelinde ise ITIL, ISO 27031, BS25777 gibi standartlar şeklinde ISO 22301’in uygulamasında her daim kullanılabilecek standartlar arasındadır. İSYS standartları dahilinde İSYS’nin kurulumu, gerçekleşmesi işletilmesi, izlenmesi, gözden geçirilmesi, sürdürülmesi ve temelinde tekrar gözden geçirilmesi için PUKÖ (Planla-Uygula-Kontrol et şeklinde-Önlem al) modeli kullanılıyor. PUKÖ modeli İş Sürekliliği gereksinimlerini ve yegane ilgili tarafların beklentilerini girdi olarak alır ve gereken şekilde eylem ve prosesler aracılığıyla, bu gereksinimleri ve beklentileri karşılamakta olan İş Sürekliliği sonuçlarını üretiyor.

BS 25999 standardı bu kabiliyeti dokümante şekilde edilmiş bir yönetim sistemine uyarlamak adına, iş sürekliliği konusunda çalışan/iş sürekliliğini uygulayan uzman olan kişiler/kurumlar ile akademik toplulukların temelinde teknik ve uygulama deneyimlerinden yararlanılarak, ilk şekilde bir İngiliz standardı olan BS 25999 oluşturulmuş ve iş sürekliliği konusunda tüm dünyada lider bir kaynak olmuştur.

İş sürekliliği yönetimi konusunda en iyi şekilde uygulamalar dikkate alınarak hazırlanan bu standardın, çok büyük, orta ve küçük olmak üzere her bir sektörden organizasyonun (kamu yahut özel) iş sürekliliği yönetiminde yegane bir kaynak olması hedeflenmiştir. ISO 22301 Standardı pek çok standartta olduğu şekilde bu konuda da bir geçiş (BS 7799-2‘den ISO 27001‘e gibi) her daim kaçınılmaz olmuş ve International Organization for Standardization şeklinde (ISO) BS 25999’un yerine geçecek biçimde ISO 22301‘i hazırlamaya başlamıştır.

2011 senesi içerisinde taslak sürümü kamuoyu ile paylaşılmakta olan standart, 2012 yılı ortasında ISO 22301 Sosyal Güvenlik yahut iş sürekliliği yönetimi sistemi ismiyle son hali şekilde yayınlanmıştır. ISO 22301, kurumu kesintiye uğratacak durumda olaylar meydana geldiğinde kurumun hazırlıklı olması, yanıt verebilmesi ve geri dönebilmesi adına dokümante edilmiş bir yönetim sitemine ilişkin temelinde gereksinimleri belirler.

Kurumların etkin bir biçimde yönetmesi gereken süreçlerden bir tanesi ise iş sürekliliğidir. İş sürekliliği yönetimi  "bir organizasyonun ürün yahut servislerini kesinti olayı sonrasında önceden tanımlanmış şekilde kabul edilebilir seviyede sürdürebilme kapasitesidir" biçiminde tanımlanır. Bir başka deyişle, büyük ya da küçük bütün işletmelerin işlerinin aksamasına sebep olan kesintilere karşılık vermesini sağlayacak biçimde etkinliklerin tümüdür.

Eğer beklenmedik şekilde iş kesintileri size göre değilse yapacağınız temel ve en iyi şey ISO 22301 Toplumsal Güvenlik ve iş sürekliliği yönetim sistemi standardını her daim uygulamak olacaktır. ISO 22301 Toplumsal Güvenlik ve aynı zamanda İş Sürekliliği Yönetim Sistemi Standardı, yaklaşık yüz altmış ülke tarafından onaylanmış bir standart şekilde olup daha önce yayınlanmakta olan BS 25999 İş Sürekliliği Standardının, ISO standardı şeklinde çıkarılan, gelişmiş bir uygulamasıdır.

İş sürekliliği yönetim sistemi standardı kuruluşların iş sürekliliğini sağlamaları adına gerekli planları oluşturmaları, uygulamaları, işletmeleri, tüm izlemeleri, incelemeleri, sürdürmeleri, korumaları yahut riskleri azaltmak için hazırlanmaları, yıkıcı olaylardan kurtarmak adına belgelenmiş bir yönetim sistemini geliştirmekte gereksinimleri belirtir. İş ile ilgili şekilde mevcut ve gelecekteki tehditleri belirlemek ve tüm bunları doğru yönetme konusunda katkı sağlıyor. Olayların etkisini minimize ediyor. Kriz zamanlarında kritik fonksiyonların her daim çalışmasını temin eder.

22301 iş sürekliliği yönetim sistemi sağlanması kabiliyetinin kanıtlanması ile beraber günümüz rekabet ortamında avantaj sağlıyor. Tedarikçilerin, müşterilerin, pay sahiplerinin, tüm çalışanların gereksinimleri risk değerlendirilmesi yolu ile beraber yerine getirilir. Yaşanan olaylar dahilinde kesinti süresinin azaltılması ve kurtarma vaktinin iyileştirilmesini sağlar. Kuruluşun kendisini yahut da ilişkide olduğu diğer kuruluşları, tüm kamu kurumlarını, yerel yetkililerin tanınması ve uygun biçimde geliştirilmiş, dokümante edilmiş ya da anlaşılmış bir acil durum hizmeti sağlanıyor. Kuruluşun saygınlığını, markalarını ya da itibarını koruyor. Kuruluşun tedarik zinciri güvenli bir hale geliyor.

ISO 22301 İş Sürekliliği Yönetim Sistemini Neden Uygulanır?

İş sürekliliği, Kuruluşun tüm olaylara karşılık verme ve bunun planlamasını durumu konusunda stratejik ve taktiksel becerisi ve iş kesintileri için tanımlanmış kabul edilebilir seviyede iş uygulamalarına etme becerisi olarak tanımlanır. İş sürekliliği işler giderken, genelde organizasyonların üzerinde çok ayrı durmadıkları bir konudur. Fakat geriye dönülüp bakıldığında, bir değer elde etmek için verilen emeklerin, uğraşların, çabaların, önceden şekilde öngöremediğimiz nedenlerden ötürü çoğu vakit bir çırpıda son bulduğu, geriye keşkelerin sık şekilde söylendiği anları bize yaşattığı görülüyor. İş sürekliliği kavramının, esasında iş kesintisi yola çıkarak daha kolay anlaşılabilir hale getirebiliriz. İş, “Bir Kuruluşun hedeflerine göre ürün ya da hizmet gerçekleştirme uygulamalarında ve olumsuz yönde sapmaya neden olan tahmin edilen edilemeyen deprem, yangın, iş krizleri, kasırga her türlü olay” olarak tanımlanır. Bu iş kesintileri çoğu zaman kuruluşların kalkamayacağı ticari kayıplarla, saygınlık kaybıyla imaj kaybıyla sonuçlanmaktadır.

Türkiye Bankalar Birliği çalışma grubunun, 2002 yılında Bankacılar Dergisinde, A.B.D de yapılan bir araştırmaya göre; bir olay yaşamış kurumların beş tanesinden ikisinin(%40) faaliyetlerini sürdüremediği, her üç tanesinden birinin (%33) iki yıl sonra faaliyetlerini belirtilmiştir. Görüldüğü gibi olağanüstü durum ve felaketle karşılaşan ciddi mali kayıplar yanında, itibar, müşteri kaybı, sorunları ile yüz yüze kalabilmektedirler. O nedenle bir duruma karşı hazırlıklı olmak ve organize bir plan ,program dahilinde bütününe yayılmış bir kültürle hareket etmek, bu tür durumlarda esneklik ve geri dönüşü için son derece önem taşımaktadır.

Dünyada iş önemi ve uygulamaları, 2000’li yıllara görülmeye başlanmıştır. Dünya bu dönemde yazılım ve donanımlarda kullanılan iki yıl bilgisinin tüm bilgisayar yazılım yaratacağı etkiyi konuşmaya başlamıştır. Bu dönemde bir önlem olarak, sorun yaratabileceği tüm yazılım ve donanımları gözden geçirerek yaratabileceği düşünülen donanımları değiştirilmişlerdir.

Ancak gözden geçirmeler yeterli miydi, acaba daha başka ne gibi sorunlar çıkabilirdi veya ortaya çıksa ne yapılabilirdi, işte bu gibi düşünceler ışığında Acil Durum Planlarını başlamışlardır. Ve ilk defa İş sürekliliği kavramları bu sıklıkla geçmeye başlamıştır. Bu konuda ilk resmi planın ABD Genel Ofisinin yayınladığı Year 2000 Crisis: Business Continuity Planning adlı plan görülmektedir.

Ve bu uygulama bu ile tüm dünyada örnek alınan yol gösteren rehber doküman özelliğini kazanmıştır. Daha sonra başta olmak üzere tüm uluslararası örgütler konuda uyarılar yapmışlardır. Bu konuda çözüm önermişlerdir. Türkiye’de Devlet kurumlarındaki Devlet Planlama Teşkilatı öncü rol üstlenmiş ve bu planların sağlamışlardır. Tüm bu ki dünya bu kriz durumunun gelebilmiştir.

İş Sürekliliği Yönetim Sisteminin Amacı ve Önemi

Yakın tarihte dünyada deprem, sel, tsunami, saldırılar, radyo aktif sızıntılar, dost saldırıları belgeleri vb. pek çok olay İş sürekliliği gerçeğini gündemine taşımıştır. Kurumlar gibi senaryolara hazırlıklı şekilde olabilmesi için, sahip oldukları öz farkında ve bilincinde olmaları gerekli almalarının ne derece önemli olduğu açıktır. Genelde bilançolarında varlık kalemlerini fiziki olanlardan göstermekte ve her fiziki olmayanların mali değerlerini fazla dikkate almamaktadırlar.

Oysaki birçoğu fiziki varlıklarının yanında çok ciddi bir şekilde sermayeye de sahiptir. Bu entelektüel sermaye, iş yapma şekillerini yansıtan tasarımları, tüm süreçleri, metodolojileri, bilgileri ve bilişim teknolojileri ortamlarında var olan şekilde ve saklanan verileri olarak çok farklı değerler şeklinde karşımıza çıkabilir. Ve bu gün görüyoruz ki dünyasında iş yapma şekillerinin bir bölümünü bilgi teknolojilerine bağımlı yürütülmektedir ve bilgiye hızlı ulaşımlarda ve veri işleme olanakları önemli değer olarak karşımızdadır. O nedenle bilgi sistemlerinin sürekliliği öz varlık kalemlerine ait değerlerin sürekliliğinin her daim sağlanması kurumlar açısından üzerinde en üst yönetimi nazarında dikkate alınması bir husus olarak değerini korumalıdır.

İş sürekliliği yönetimi (BCM), “Bir kuruluşun potansiyel iş kesintilerinin etkilerini önceden fark edilirse etkileri tespit eden ve ilgili tarafların çıkarlarını, saygınlığını, ve değer yaratma faaliyetlerini koruyan, etkin verme becerisiyle kuruluşa tehditlere karşı esneklik kazandırmak bir alt yapı sağlayan bütünsel bir yönetim yahut idare prosesi” olarak tanımlanır. Bu anlamda süreklilik yönetimi (BCM), kuruluşların ana amaçlarını yahut da hedeflerini gerçekleştirmek adına, iş kesintilerine karşı esneklik artırıcı bir yönetim aracı olarak her daim değerlendirilir.

İş süreklilik yönetimi (BCM), temelinde kuruluşlara bir kesintinin ardından belirlenmiş içinde anahtar ürün ve hizmetlerini belirlenmiş destekleyebilme kabiliyetinin oluşturulması adına uygulamalı metotlar geliştirmenin zorunlu kılar. Gerek bu uygulamalı metotlar, gerekli şekilde kuruluşun uygulamaları neticesinde ortaya çıkardığı esnek şekilde müdahale sistemleri iş kesintilerinin yönetiminde ispatlanabilir temel bir yeterlilik gerçekleştirir ve kuruluşun tümüyle saygınlığını ve markasını korumada önemli şekilde bir görev üstlenir.

İş sürekliliğinin yönetimine dair ait yapı, prosesler, metotlar, kuruluşun çapı, yapısı yahut sorumluluklarının yapısına uygun değişebilir. Kuruluşlar kendi ölçeklerine ve karmaşıklıklarına bakılmaksızın gönüllülük olarak iş sürekliliğinin yönetimini her daim uygulayabilir. Burada dikkat edilecek husus, temel prensiplerin kuruluşların tüm öz varlıklarının ve anahtar ürün hizmet gerçekleştirme bütün süreçlerine uygun bir strateji ile destekleniyor.

İş Sürekliliği Programının Sağladığı Faydalar

İş sürekliliği stratejisi, temelinde kuruluşun, bir felaket ya da diğer bir önemli olay yahut da iş kesintisi ile karşılaşıldığında süreklilik veya da kurtarmayı sağlayan yaklaşım şeklinde tanımlanır. Bu tanımdan anlaşılacağı üzere strateji, olası kesintinin azaltmayı, minimize etmeyi ve ortadan kaldıracak şekilde bir yaklaşım olarak değerlendirilmektedir.

Basit örnekle, elektrik kesintisine tahammülü bir bankanın bünyesinde bir jeneratör ve bir yedeğini bulundurması onun iş sürekliliği yönetiminin avantajları ve kurtarmayı sağlayan olarak değerlendirilir. Küçük ya da büyük olsun bütün kuruluşların büyüme, sağlama ve diğer işlere geçme şeklinde amaç ve hedefleri olabilir.

Bu amaçta, genellikle kuruluşun kısa, orta ve uzun hedeflerinin başarılması için stratejik planlama ile beraber gerçekleşir. Kuruluşun en üst seviyesindeki İş süreklilik dahilinde yönetimi (BCM) anlayışı, bu amaç yahut da hedeflerin beklenmeyen kesintilerle tehlikeye atılmasının önüne geçecek şekilde bir yaklaşımdır. Bir olayın sonuçları çeşitli ya da benzer olarak çok geniş kapsamlı olabilir. Örneğin 17 Ağustos depreminin yurt temelinde yaşattığı bunalım, Japonya'nın yaşadığı Tsunami felaketi hemen sonrasında yaşadığı panik ortamı gibi şeklinde örnekleri çoğaltılabilir, küresel çaptaki şekilde bir etki yaratmıştır. Bu sonuçlar temelinde yaşamsal kayıpları, değer ya da gelir kayıpları veyahut da kuruluşun stratejilerinin, tüm saygınlığının ve hatta ayakta kalmasının bağlı şekilde olduğu ürün ve servislerin gerçekleştirilmesinde temel olarak yetersizlik gibi konuları içerebilir. BCM de olay yahut felaket sonuçlarından etkilenen tarafların stratejik şekilde öneminin farkında olunması her daim gereklidir.

Zira yaşanan bir kesintinin sonuçlarına uygun şekilde yeni etki grupları ortaya çıkar ve hasarın nihai dahil kapsamına direk etki edebiliyor. Örneğin, Türk Telekom alt yapısı temelinde yaşanan bir kesinti, her çevreden yurttaşlara her daim etki eder ve olayın etkileri karşısında her daim bir tepki geliştirirler.

Dünya genelinde ise (Şekil 1 Kritik sistemler) Seviye 1, Seviye 2 yahut da Seviye 3 olmak üzere üç seviye kısmında kendisini gösterir: Seviye telekomünikasyon bunlarla beraber enerji ve su kaynakları, üçüncü seviyede, bankacılık, finans, ulaşım yahut da kimya endüstrisi, diğer seviyede ise, savunma sanayi, posta nakliye, gıda, sağlık ve acil durum şeklinde hizmetleri geliyor. Tüm bu konular kuruluşun olay yahut felaket durumuna yaklaşımı ile temelinde ilgilidir. Kuruluşlar stratejik şekilde öneme sahip kritik sistemler dahilinde herhangi bir kesintinin etkileri ile ilgili riskleri hesaba katabilmek ve bu risklerin etkilerini azaltacak şekilde önlemleri almak durumundadırlar.

İş Sürekliliği Yönetimi (BCM) uygulamaları, iş süreklilik planına yönelik risklerin ve bu tür risklerin sonuçlarını anlamak ve risklere karşı alınacak önlemlerin, tedbirlerin uygulanması yoluyla ilgilidir. Her bir olayın kuruluşun hedef şekilde ürün hizmetleri veya anahtar servisleri üzerinde ayrı derece etkileri olabilir. Kuruluşlar bu etkileri kapsamlı bir iş etki analizi ve sonrasında yapılan risk metodolojisiyle anlamlı hale getirebilir.

Risk, herhangi bir zarar, kötülük veya istenmeyen durumun çıkma olasılığı olarak tanımlanır. Risk varsa sürekliliği tehdit durum söz konusudur. Tehdit bir olaya yol açacak potansiyel durumlar tanımlanır. 

Diğer bir ifadeyle, bir risk, varlıklar üzerindeki açıklıkların tehditler tarafından temeliyle kullanıldığı durumlarda ortaya çıkar. Risk yönetimi dahilinde, kuruluşun gerçekleştirdiği anahtar ürün ve hizmetler durumunda risklerin yönetilmesini amaçlar. Ürün ve hizmet gerçekleştirme, tahmin edilmesi ya da analiz edilmesi zor, çok çeşitli taraflardan kesintiye uğrayabilir. O halde riskin yol açacağı sorunların önüne geçmek için mutlak suretle açıklıklara yoğunlaşmak gerekir. Kuruluşlar işte bu açıklar vasıtasıyla gelebilecek olası durumun etkilerini, riskin transferi (paylaşma), (katlanma), riskin azaltılması (iyileştirme) ya da riskin (kaçınma) temelini veya bunların bir bileşimini öngörebilmelidir.

Bilgi teknolojileri iş sürekliliği planı kuruluşun temelinde ayakta kalmasının bağlı olduğu ürün ve hizmetleri ve bütün yükümlülükleri yerine getirmeye devam etmek adına nelerin gerekli olduğunu tespit eder. Kuruluş çatısı altındaki bireyleri, sahip olduğu arazileri, teknolojiyi, bilgiyi, tedarik olan zincirini, ilgili tarafları ve kuruluşun saygınlığını korumak adına bir olay gerçekleşmeden önce neler yapılması gerektiğinin BCM yoluyla her zaman farkına varabilir. Bu bilinçle bilgi sistemleri süreklilik planı, kuruluş bir kesinti olduğunda gerekli şekilde olabilecek yanıtlara dair gerçekçi olan bir bakış açısı yakalayabilir, böylece ürün yahut hizmetlerini gerçekleştirmede beklenmeyen şekilde bir gecikme olmaksızın, herhangi bir sonucun yönetileceği konusunda güvenilir olabilir.

İş sürekliliği yönetimi (BCM), ürün yahut hizmet üretiminin planlandığı biçimde sunulmasında, devamlılık ve sürekliliğinde, işletmesel olarak ihtiyatlılık açısından önemli değerde bir bakış açısı kazandırmaktır. Bilindiği şekilde, işletmesel ihtiyatlılık , “İşletmenin karşılaşabileceği riskler göz alınarak temkinli davranılmasını ön görmekte olan yönetim anlayışı" olarak tanımlanır.

Yöneticiler ve kurum sahipleri, kuruluşun faaliyet gösterme kabiliyetinin sürekliliğinden sorumludurlar.  Bilindiği üzere, iş sürekliliği ölçeğine ve büyüklüğüne bakılmaksızın kuruluşların (özellikle acil durum, gönüllülük hizmeti sağlayan) ahlaki bir takım sorumlulukları vardır. Kimi durumlarda, iş faaliyetleri teknolojik hatalar, tedarikçi hizmetlerindeki kesinti yahut da terörizm kaynaklı olaylara konu olabilir. Bu gibi durumlarda BCM bir yandan güvenliği korurken, diğer yandan uygulama kesintilerine müdahale eder. O nedenle BCM maliyetli şekilde planlama prosesi olarak algılanmamalı, kuruluşlara değer katan, tüm ilgili tarafların kazanacağı bir kazan kazan prosesi şeklinde düşünülmelidir. İyi bir BCM uygulaması ile beraber işletme sahipleri, müşteriler, vatandaşlar, kamu düzenleri, dünya düzeni kazanır.

 

İş sürekliliği, yalnızca verilerin başka bir çalışma alanına çevrim içi aktarılması veya kritik olan sunucuların devamlı olarak çalışmasını sağlamak adına kümeleme, RAID, yedekli güç kaynağı, yedekli ağ hatları kullanmaktan dışında bir teknolojik yaklaşım olarak düşünülür.

İş sürekliliği, süreçlerin devamlılık ihtiyaçlarının ortaya koyulması ve bunun için gereken çalışmaların yapılması şeklinde değerlendirilmelidir. İş sürekliliği yalnızca bir ürün veya servis olarak görülmemelidir. Zira bu esnada gerek teknoloji, gerek güç ve gerekse de mali kaynaklar entegre bir biçimde kullanılacaktır.