İŞG102U-YÖNETİM SİSTEMLERİ VE RİSK YÖNETİMİ
Ünite 3: Çalışma Hayatında İş Sürekliliği Yönetim Sistemi
Yönetim Sistemlerinde Süreç ve Süreklilik
İşletme ve organizasyonların afet ve acil durumlara karşı önceden hazırlıklı olmalarını kurumsal ve sürdürülebilir performans yönetimi açısından süreçlerin takibini sağlayan ve dikkate alan yaklaşım ‘Süreç Yaklaşımı’dır. Bir yönetim sistemi kurma stratejisi çok basit bir modeli gerektirir; bu da yönetim sistemleri içerisinde, uzun yıllardan beri kullanılmakta sürekli iyileştirme mekanizmasıdır. Buna kısaca ‘PUKÖ’ döngüsü denmektedir. PUKÖ’ nün açılımı ‘Planla’, ‘Uygula’, ‘Kontrol Et’ ve ‘Önlem Al’ demektir.
Bir kuruluşta bir işin, önceden belirlenmiş prensipler ve kurallar içinde yapılması sırasında, bu sürecin bir şekilde kesintiye uğraması hâlinde, kuruluşun bu kesintiye cevap verebilme becerisine iş sürekliliği denebilir. İş sürekliliği çalışmalarının temelini ise, bu süreçlerin ne kadar kesintiyi kaldırabileceği, kesinti süresince, kesinti oluşturan durumu ortadan kaldırmak ve süreci yeniden başlatmak için neler yapılması gerekeceği ve de yapılması gereken işlerin ne kadar süre alacağı konuları oluşturmaktadır.
İş Sürekliliği Temel Kavramları
İş sürekliliğinde kavram birliğinin oluşturulması ve anlaşılması açısından bu konudaki tanımlar ele alınmıştır. Burada yer alan tanımlar; ‘BS 25999 İş Sürekliliği Yönetim Sistemi’, ‘Uluslararası İş Sürekliliği Enstitüsü İş Sürekliliği Yönetimi Kılavuzu’, ‘ISO 9001 Kalite Yönetim Sistemi’, ‘ISO 31000 Risk Yönetim Sistemi’ ve ‘ISO 27001 Bilgi Güvenliği Yönetim Sistemi’ standartları temel alınarak oluşturulmuştur.
İş Sürekliliği Kavramı
İş sürekliliği organizasyonun, kurum ve kuruluşların faaliyetlerini, herhangi bir felaket, kriz ve afet durumunda önceden belirlenen seviyede yürütebilme becerisi şeklinde tanımlandığında; iş sürekliliği herhangi bir deprem, sel, yıldırım düşmesi, sunucu çökmesi, kritik personelin işten ayrılması, ekonomik kriz ve benzeri durumda organizasyon, kurum ve kuruluşların kritik ürün, servis ve faaliyetlerini çok az zararla geçirmesini, kriz anına hazır bulunuşunu ifade etmektedir.
Bir kuruluşta, en etkili şekilde yönetilmesi gereken sistemlerden biri ISO 22301 ‘İş Sürekliliği Yönetim Sistemi’dir. Genelde bir kesinti yaşanmadığı sürece önemi anlaşılmaz ama bir kesinti yaşanır ve iyi yönetilmezse kuruluşta ciddi kayıplara neden olabilir. Genelde bir felaket anında yapılacak çalışmaları düzenleyen acil durum planları ile iş sürekliliği çalışmaları birbirine karıştırılır. Oysa acil durum planları sadece bir felaket durumunu düzenlerken, iş sürekliliği çalışmaları, felaket durumları dışında faaliyetlerin gerektiği şekilde yürütülmesini engelleyecek her durum için yapılmaktadır. Bu yüzden de iş sürekliliği çalışmaları daha çok kesintileri önleyici stratejileri içerirken, acil durum planları felaket sonrası yapılacak işleri düzenler. Yani acil durum planı
yapmak İş Sürekliliği Yönetim Sistemi’nin bir alt süreci kabul edilir.
İş Sürekliliği Tarihsel Gelişimi
Dünyada iş sürekliliğinin önemi ve uygulamaları, 2000’li yıllara yaklaşıldığında görülmeye başlanmıştır. Dünya bu dönemde bilgisayar yazılım ve donanımlarda kullanılan iki rakamlı yıl bilgisinin tüm bilgisayar yazılım ve donanımlarında oluşturduğu etkiyi çözmek için Acil Durum Planlarını geliştirmeye başlamışlardır. Bu konuda yazılan ilk resmi planın ABD Genel Muhasebe Ofisinin yayınladığı ‘Year 2000 Computing Crisis: Business Continuity and Contingency Planning’ adlı plan olduğu görülmektedir. Bu uygulama, bu özelliği ile tüm dünyada örnek alınan ve kuruluşlara yol gösteren rehber doküman olma özelliğini kazanmıştır. Sonrasında başta Dünya Bankası olmak üzere tüm ulusal ve uluslararası örgütler ile Türkiye’de de Devlet Planlama Teşkilatı bu konuda öncü rol üstlenmiştir.
Günümüzde en hızlı gelişen konulardan birisi olan iş sürekliliğinde ilk standart çalışmalarına, 2003 yılında İngiliz Standartları Enstitüsü (BSI British Standards Institution) tarafından başlanmıştır. Bu konudaki temel standartlar şunlardır:
• BS 25999 Standardı,2003 • ISO 22301 Standardı, 2012 • ISO 22301 Standardı, 2019 • Strateji temelli ve çözüm temelli daha geniş yaklaşım, ISO 22301 • İş Sürekliliği Yönetim Sistemindeki (BCMS) değişiklikleri yönetme, ISO 22301
İş Sürekliliği Yönetim Sistemi
İş Sürekliliği Yönetim Sistemi ISO 22301, BS 25999 standartları gibi uluslararası kabul görmüş yönetim sistemi standartlarının uygulanma prensiplerine verilen genel bir isimdir. Bu yönetim sistemi, politika, yöntem, talimat, raporlama ve takip yapısını, iç tetkik, yönetim gözden geçirme gibi ana uygulama başlıklarını içerir. İş sürekliliği çalışmaları kendi başına bir süreç değil, kuruluşun hedefleri doğrultusunda düzenlenip geliştirilmesi gereken ve kuruluşun stratejik planının bir parçası olması gereken bir çalışmadır. İş Sürekliliği Yönetim Sistemi kurulurken yapılacak en önemli çalışma, risk analiz çalışmaları ve risklerin çalışmalara, faaliyetlere etkilerinin değerlendirilmesidir. İş etki analizleri ise, olabilecek kesintilerin, kuruluşun faaliyetleri üzerinde oluşturacağı etkiyi görmek için yapılır.
İş Sürekliliği Yönetimi Yaklaşımı
İş sürekliliği, olay öncesi, olay anı ve olay sonrası olmak üzere birçok çalışmayı içeren geniş kapsamlı bir yönetim sistemidir. Proaktif bir yaklaşım içeren iş sürekliliği yönetimi üç ana aşamadan oluşmaktadır: (1) Olay Öncesi Hazırlık Aşaması; Bu aşama kapsam analizi, risk analizi, iş etki analizi, kapasite analizi ve yatırım analizi gibi çalışmalar ile iş sürekliliğini tehdit edebilecek unsurların
belirlenmesi, bunların bertaraf edilmesi veya etkisinin en aza indirilmesi için gerekli çalışmaları içermektedir. (2) Olay Müdahale Aşaması; Olayın gerçekleşmesi anında yapılacakları içermektedir. Problem yönetimi, acil durum yönetimi, krizi yönetimi planlarının devreye alındığı aşamadır. Burada amaç en kısa sürede (belirlenen süreler içerisinde), belirlenen kapasitede tekrar ürün ve hizmetleri sunabilir hale gelmektir. (3) Olay Sonrası Kurtarma ve Geri Dönüş Aşaması; olay sonrası değerlendirme, ders çıkarma ve bir anlamda ilk iki aşamanın kontrolünü içermektedir. Burada amaç meydana gelen bir olay sonrasında dersler çıkararak bu benzeri olaylara karşı hazırlık yapmaktır. İşletmelerinde ISO 22301 İş Sürekliliği Yönetim Sistemi’ni kuran ve uygulayan kuruluşlar, işin sürekliliğini sağlamak bakımından, gerekli süreçleri belirlemiş, planları oluşturmuş ve uygulamaya başlamıştır ve sistemi sürekli olarak izlemeye ve olası iş kesintisi risklerini önlemek ve en aza indirmek için sistemi devamlı olarak güncellemeye devam etmektedir.
İş Sürekliliği Yönetim Sisteminin Temelleri
Kuruluşların iş sürekliliği sistemi kurmaları için aslında çok sayıda standart bulunmaktadır. Bu standartlar sistemin kurulmasına, çalıştırılmasına ve iş sürekliliği performansını yükseltmeye yöneliktir. Belli başlı standartlar ve yardımcı kılavuzlar şunlardır:
• ISO 22301:2019 İş Sürekliliği Yönetim Sistemi, Şartlar Standardı. • ISO 22301:2012 İş Sürekliliği Yönetim Sistemi, Şartlar Standardı. • ISO 22300:2012 İş Sürekliliği Yönetim Sistemi, Sözlük. • ISO 22312:2011 İş Sürekliliği Yönetim Sistemi, Teknolojik yeterlilikler. • ISO 22313:2012 İş Sürekliliği Yönetim Sistemi, Rehber, • ISO 27031 Bilgi ve İletişim Teknolojileri İçin Sürekliliği Yönetim Sistemi, • ISO 27001 Bilgi Güvenliği Yönetim Sistemi, • ISO 20000 Bilgi Teknolojileri Hizmet Yönetim Sistemi.
İş Sürekliliği Yönetim Sistemi’nin iki temel prensibi bulunmaktadır. Bunlar; (1) Risk analiz çalışması: Kuruluş hem bugün karşı karşıya olduğu riskleri hem de gelecekte olması muhtemel riskleri bugünden belirlemelidir. Risk analiz çalışmaları, kuruluş için kabul edilebilir kesinti sürelerinin ne olabileceğini ve çok uzun kesinti olması durumunda bundan etkilenecek kritik noktaların hangileri olacağını belirlemek için yapılmalıdır. (2) İş etki analizi: Riskin gerçekleşmesi hâlinde olabilecek kesintilerin kuruluşun faaliyetleri üzerinde oluşturacağı etkiyi tespit etmek için bu analiz yapılmalıdır. İş etki analizi, öncelikle, kuruluş için kritik olan faaliyetler için yapılmalıdır.
Risk Yönetimi
Risk yönetimi, İş Sürekliliği Yönetim Sistemi’nin en temel süreçlerinden biridir. Risk, gelecekte oluşabilecek
potansiyel problemlere, tehdit ve tehlikelere işaret etmekte olup, belirli bir zaman aralığında hedeflenen bir sonuca ulaşamama, kayba ya da zarara uğrama olasılığıdır. Kuruluş, risk yönetimini: risk yönetim yönteminin tanımlanması; risklerin değerlendirilmesi ve önceliklendirilmesi; risklerin yönetilmesi için risk müdahale (risk iyileştirme) planlarının yapılması; risk müdahale planlarının uygulanması, gelişmelerin izlenmesi ve gerek görülen konularda düzeltici, önleyici ve iyileştirici faaliyetler gerçekleştirilmesi gibi temel basamakları içeren bir sistem ve süreçler bütünü olarak görmesi gerekmektedir.
İş Sürekliliği ve Risk Yönetimi İlişkisi: İş Sürekliliği Yönetimi uygulamaları, işe yönelik risklerin ve bu risklerin sonuçlarını anlamak ve risklere karşı alınacak önlemlerin, tedbirlerin uygulanması yoluyla ancak bir değer ifade eder. İş Sürekliliği Yönetimi kuruluşun ayakta kalmasının bağlı olduğu bu ürün ve hizmetleri ve yükümlülüklerini yerine getirmeye devam etmek için nelerin gerekli olduğunu kesintinin etkisine odaklanarak tespit eder. Kuruluş çatısı altındaki kişileri, sahip olduğu arazileri, teknolojiyi, bilgiyi, tedarik zincirini, ilgili tarafları ve kuruluşun saygınlığını korumak için bir olay gerçekleşmeden önce neler yapılması gerektiğinin ‘İş Sürekliliği Yönetimi’ yoluyla farkına varabilir.
İş Etki Analizi
İş etki analizi, İş Sürekliliği Yönetim Sisteminin en temel süreçlerinden biridir. Öyle ki iş sürekliliği çalışmaları iş etki analizine göre yapılır ve sürdürülür. İş süreçlerinde gerçekleşmesi muhtemel bir kayıp, aksama ya da kesinti gibi durumların iş faaliyetlerine etkisini iş etki analizi ile nitel veya nicel olarak tanımlamak mümkündür. Organizasyonların stratejik, taktiksel ve işlevsel gibi farklı düzeylerinde yaşanabilecek kesintinin etkilerinin zaman ölçeği ve boyutu iş etki analizi ile tanımlanır.
Stratejik: Ürün ya da hizmetin sunulamaması (İş sürekliliği yönetim sisteminin kapsamına karar vermede yardımcı olmak),
Taktiksel: İç ve dış faaliyetlerde kesinti nedeni ile ürün yâda hizmetin sunulamaması (süreklilik seçenekleri ve bunların kaynak gereksinimleri için bilgi sağlamak),
İşlevsel: Bir iş alanının faaliyetlerinde kesintidir (bölümün faaliyetlerinin kesintisi için detaylı bir plan hazırlamada yardımcı olmak).
İş Etki Analizinin Amacı: İş etki analizinin amacı ürünleri veya hizmetleri destekleyen her faaliyet için, kesintiden doğacak sonuçların zaman periyodundaki etkisinin dokümante edilmesi, hedeflenen Kurtarma Süresinin (RTO-Recovery Time Objective) ve Maksimum Kabul Edilebilir Kesinti Süresinin (MTPD-Maximum Tolerable Period of Disruption) belirlenmesi, Faaliyetlerin etkin olarak devam ettirilebilmesi için iç ve dış bağımlılıklarının belirlenmesidir. İş etki analizi, büyük iş değişimlerinden önce kesinti etkisini belirlemek içinde kullanılabilir.
İş sürekliliği yönetim sistemi sürecinde terminolojik olarak ‘kritik’ kelimesinin kullanımı önemlidir. Kesinti hâlinde, etkisi işletme için çok kısa zamanda çok yüksek seviyelere çıkan faaliyetlere kritik faaliyet denmektedir.
İş Etki Analizi Süreci: İş Sürekliliği Yönetim Sistemi kapsamında iş etki analizi sürecinde şu faaliyetler gerçekleştirilir. (a) Anahtar ürün ve hizmetleri destekleyen iş faaliyetlerinin tanımlanması, (b) İş faaliyetleri hakkında bilgi alınabilecek uzmanların belirlenmesi, (c) Kesintinin organizasyonun varlığına, itibarına ya da finansal durumuna nasıl zarar verebileceğinin zamana yayılmış şekilde tanımlanması, (d) Ürün ve hizmetlerin sunulamamasının işletmeye yıkıcı etki oluşturduğu zamanın belirlenmesi, (e) Hedeflenen kurtarma süresi ve maksimum tahammül edilebilir kesinti süresinin belirlenmiş etkilere dayanılarak belirlenmesi, (f) İş faaliyetlerin devam edebilmesi için gerekli iç ve dış kaynak gereksinimlerinin ve bağımlılıklarının belirlenmesidir.
İş Etki Analizinde Veri Toplama: İş analizi için veri toplama çeşitli şekilde yapılabilir. Tamamen organizasyon yapısı, endüstriyel çevre ve ihtiyaçları karşılama durumuna göre karar verilmesi gereken bir durumdur. Atölye çalışmaları, birebir görüşmeler, anketler düzenlemek veri toplama teknikleri olarak kullanılabilir.
Onay: Süreç sahiplerinden iş etki analizindeki verilerin doğruluğunun onayının alınması; İş etki analizi sonuçları için yönetim onayın alınmasıdır.
Çıktılar: İş etki analizi sonucunda aşağıdaki çıktılar üretilir.
Anahtar Ürün ve Hizmetlerin Listesi: Anahtar ürün ve hizmetleri destekleyen faaliyetler; Faaliyetlerde yaşanabilecek kesintilerin müşteri, finans, itibar ve hukuki açıdan zamana yayılmış etkileri ve varsayımlardır.
Faaliyetler İçin RTO (Hedeflenen Süresi) ve MTPD (Maksimum Kabul Edilebilir Kesinti Süresi) Değerleri: Faaliyetlerin devam edebilmesi için gerekli kaynaklar; Ürün ve hizmetler için minimum iş sürekliliği hedefleridir.
İş Etki Analizinin Güncellenmesi: İş sürekliliği planlarının güncel tutulması ancak ve ancak iş etki analizinin güncel olması ile sağlanabilir. İş etki analizinin bakım çalışmaları iki grupta incelenebilir. Bunlardan ilki iş etki analizinin gözden geçirilmesi, diğeri güncellenmesidir. İş Etki Analizinin, İEA, güncelleme işleminde dikkate alınması gereken durumlar; (1) Süreçlerde ve kaynaklarda oluşabilecek önemli değişiklikler, (2) Bilgi teknolojileri sistemlerindeki önemli değişiklikler, (3) Tedarikçi değişimleri, (4) İş sürekliliği tatbikatı sonucunda öğrenilen dersler, (5) İş sürekliliği planının acil durumlarda işletilmesi sonrasında öğrenilen derslerdir.
İş Sürekliliği Yönetim Sistemi ve Uygulanması
İş Sürekliliği Yönetim Sistemi, kuruluşların hayati varlıklarını koruyabilecek, riskleri yönetip azaltabilecek, acil durumlara kısa sürede çözüm üretebilecek ve müşteriler, iş
ortaklarıyla ve işletme paydaşları arasında güven oluşturabilecek bir araçtır. İş Sürekliliği Yönetim Sistemi (İSYS) gerekliliklerini tarif eden ISO 22301 standardı iş sürekliliğini ‘Bir organizasyonun ürün ve servislerini kesinti olayı sonrasında önceden tanımlanmış kabul edilebilir seviyede sürdürebilme kapasitesi’ olarak tanımlamaktadır.
İş Sürekliliği Yönetim Sistemi Uygulama Yöntemi
İş Sürekliliği Yönetim Sistemi (İSYS), kuruluşların kritik ürün ve hizmetlerinin devamı amacıyla benimsenen sistematik bir yaklaşım ortaya koyar. Bu sistemin temel amacı işletmenin olağanüstü bir durum karşısında gerekecek müdahale kapasitesini oluşturmaktır. Bu sistem çalışanları, iş süreçlerini ve de Bilgi Teknolojileri (BT) altyapısını kapsamaktadır. ISO 22301 ve ISO 22313 standartları kapsamında İSYS’nin kurulumu, gerçekleşmesi, işletilmesi, izlenmesi, gözden geçirilmesi, sürdürülmesi ve tekrar gözden geçirilmesi için PUKÖ (Planla-Uygula- Kontrol et-Önlem al) modeli kullanılmaktadır.
Süreç Yönetimi
Başarılı olmuş kuruluşlar ve uyguladıkları yönetim sistemleri analiz edildiğinde her kurumda aynı isimle anılmasa da sekiz temel yönetim tekniğinin bir arada ve birbirleriyle etkileşim hâlinde uygulandığını görmek mümkündür.
Bunlar; (1) Süreç yönetimi; (2) PUKÖ yaklaşımı; (3) Performans ve hedef yönetimi; (4) Kurumsal risk yönetimi; (5) Etkili iletişim; (6) Takım çalışması; (7) Hafıza yönetimi; (8) Sistem yaklaşımıdır.
Bu tekniklerin uygulanmasında yaşanan aksamalar hedeflerin gerçekleştirilememesi riskini doğurabilmektedir. Bundan dolayıdır ki bu tekniklerin bilinçli ve etkin bir şekilde uygulanması son derece önemlidir.
Süreç yönetimi ise; Süreçlerin birbirleriyle olan ilişkilerinin belirlenmesi; Bu süreçlerin standart bir yöntemle tanımlanması (dokümante edilmesi); Bu süreçlerin performansının izlenmesi, ölçülmesi ve analiz edilmesi; Gerek görülen düzeltici ve önleyici faaliyetlerin gerçekleştirilmesi çalışmalarını kapsayan faaliyetlerin tümü olarak tanımlanabilir.
Süreçleri etkin ve verimli bir şekilde yönetebilmek için nitelikleri itibariyle sınıflandırmak ve kapsamları açısından hiyerarşik yapısını belirlemek son derece önemlidir. Örneğin bir süreç sınıflandırması (Saymaz, 2012): (1) Yapısına (özelliklerine) göre süreçler; (2) Karmaşıklığına göre süreçler ve (3) Kapsamına göre süreçler şeklinde yapılabilir.
PUKÖ Yaklaşımı: PUKÖ döngüsü, istenen bir sonuca ulaşmak için kullanılan sistematik bir yaklaşım ve yöntem olup, temelinde işin daha iyi nasıl yapılabileceği anlayışı yer almaktadır. Bu yaklaşım, sistematik olarak; “Planlama”, “Uygulama”, “Kontrol Etme” ve “Önlem Alma” adımlarının uygulanmasını içermektedir. Etkin ve verimli işleyen başarılı bir yönetim sistemi oluşturmak, uygulamak ve geliştirmek için yukarıda belirtilen adımların sistematik olarak uygulanması gerekmektedir.
Performans ve Hedeflerle Yönetim
Performans, istenilen çıktılara ve sonuçlara ulaşılmasında ne derece başarılı olunduğunun göstergesi olarak ifade edilebilir. Maliyet, Zaman-Süre, Verimlilik, Kalite- Nitelik, Etkililik Sonuç, Etkinlik-Kaynak Kullanımı, Girdi İş/İşlem Sayısı Miktarı, Çıktı İş/İşlem Sayısı-Miktarı; Oran, İşlem Sayısı, İşlem Süresi/Zamanı, Parasal değer gibi birçok gösterge ile ölçümlenebilmektedir. Bu göstergeler gerçekleştirilen etkinliğin sonucunda oluşan varlığın ya da olgunun anlaşılabilir, anlatılabilir, öznelliği azaltılmış nesnelliği arttırılmış olarak açıklanmasında kullanılan bir ölçüdür.
Kurumsal Risk Yönetimi
Günümüzde firmalar sosyo-ekonomik sistemler içerisinde yaşamakta olup sosyal, teknolojik, ekonomik, ekolojik ve politik değişikliklerden etkilenmektedir. Rekabet her geçen gün daha da zorlaşmaktadır. Yaşanan değişiklikler karmaşıklık ve belirsizliği de beraberinde getirmektedir. Firmalar başarılı olmak ve sürekliliklerini sağlamak için içsel ve dışsal etkenleri sürekli ve sistematik olarak değerlendirmeli, analiz etmeli ve kendilerini ona göre konumlandırılmalıdır. İç ve dış çevrede meydana gelen her türlü değişim firmanın karşısına tehdit yâda fırsat olarak çıkmakta olup kazanca ya da kayba dönüşmektedir. Etkin ve verimli işleyen yönetim sistemlerine bakıldığında hepsinde bir risk yönetimi yaklaşımının var olduğu ve etkin bir şekilde uygulandığı görülmektedir.
Etkili İletişim
Yönetim sistemi açısından bakıldığında iletişim; Amaç birliğinin sağlanması; İnsanların ve süreçlerin senkronize ve uyumlu hareket edebilmesi; Ürün ve hizmet gerçekleştirmede verimli ve etkin olunması için son derece önemlidir. İletişimde asıl amaç, anlaşılabilir yazılı, sözlü ve davranışsal mesajlarla, karşı taraftakinin tutum ve davranışlarında istenilen yönde değişiklik yapmaktır. Organizasyonel açıdan bakıldığında iletişim, örgütün amaçlarına ulaşmak için tüm fonksiyonları arasında yatay ve dikey olarak, belli kurallar içinde gerçekleşen, örgüt içinde ve örgüt dışında sürdürülen, yazılı, sözlü ve davranışlarla iletilebilen bilgi ve belge alışverişidir.
Takım Çalışması
Bir firmanın amaçlarını gerçekleştirebilmesi organizasyonda görev yapan çalışanların bir arada, ortak hedefe doğru uyumlu bir şekilde çalışması ile mümkündür.
Kurumsal Hafıza Yönetimi
Kurumsal hafıza yönetimi, organizasyona ait bilgi ve belgelerin kontrollü bir şekilde oluşturulması, geliştirilmesi, güncellenmesi, kullanım noktalarında güncel hallerinin bulunması, yetkili kişilerce erişim ve değişiklik yapabilmesinin sağlanması, güvenli bir şekilde korunması süreçlerini kapsamaktadır. Bu konuda, ISO 9001 Kalite Yönetim Sistemi Standardı, ISO 27001 Bilgi Güvenliği Yönetim Sistemi Standardı ve ilgili iç ve dış (yasalar) mevzuat gereklilikleri doğrultusunda bir süreç geliştirilmeli, belgelenmeli ve uygulanmalıdır.
Sistem Yaklaşımı
Organizasyonel açıdan bakıldığında sistemin bünyesinde asgari şu özellikleri bulundurması gerekir: “Ana sistemi oluşturan bölümler ve birimler kendi sorumluluklarını tam, doğru ve zamanında yerine getirmeli ve ana amaçlardan sapmamalıdır; Her bölüm ve birim sorumluluklarını tam, doğru ve zamanında yerine getirebilmek için gerekli yetkiye ve kaynağa sahip olmalıdır. Başka bir deyişle yetki, sorumluluk ve kaynak dengesi kurulmuş olmalıdır; Hiçbir birim ve bölümün maliyeti, sağladığı faydadan fazla olmamalıdır; Bölüm ve birimler arası mesafe birbiriyle olan ilişkilerine göre oluşturulmalıdır.
İş Sürekliliği Yönetim Sistemi Standardı Kapsamı
ISO 22301 İş Sürekliliği Yönetim Sistemi standartları, genel olarak bütün kalite sistemlerinde olduğu gibi, kuruluşun tanınmasını, üst yönetimin iş sürekliliği taahhüdünü, süreç planlarını, kuruluşun ihtiyaç ve beklentilerinin tespit edilmesini, kaynakların ayrılmasını, iş sürekliliği süreçlerinin çalıştırılmasını, performansın ölçülmesini, analiz edilmesini ve değerlendirilmesini ve gerekli düzenleyici ve önleyici faaliyetlerin planlanmasını kapsamaktadır.
ISO 22301 İş Sürekliliği Yönetim Sistemi’nin kapsamını oluşturan ana bölümler; organizasyon içeriği, liderlik, planlama, destek, operasyon, performans değerlendirme ve iyileştirme başlıklarından meydana gelmektedir:
ISO 22301 İş Sürekliliği Yönetim Sistemi Kurulumu
Her tip veya büyüklükteki endüstri veya sektör için geçerlidir. Sistematik bir yaklaşım için denenmiş ve test edilmiş bir çerçeve sunar. Müşteri ihtiyaçlarını, kurum içi ihtiyaçları, mevzuatı, yasal ve düzenleyici gereksinimleri karşılayan bir çerçeve sağlar. İş sürekliliği için standart gereksinimlerini belirler, Kesintilere rağmen iş ihtiyaçlarını sürekli karşılayacak bir model sunar. Tanımlanmış şartların karşılandığını gösteren sertifikasyon için temel oluşturur.
İş Sürekliliği Planları
“ISO22301 İş Sürekliliği Yönetim Sistemi çerçevesinde oluşturulacak olan iş sürekliliği planları tek bir doküman olabileceği gibi iş sürekliliği yönetim sistemi kapsamının ihtiyaçlarını karşılayan birden fazla doküman da olabilir. Ancak bu dokümante edilmiş planların amacının, kapsamının ve hedeflerinin belirlenmiş olması ve uygulayıcılar tarafından anlaşılır olması sağlanmalıdır. İş sürekliliği planlarının amacı önceden belirlenmiş süreklilik ve kurtarma prosedürlerinin uygulanması yoluyla kesinti etkilerini kabul edilebilir bir düzeyde tutmaktır. ISO2 22301’in temel adımlarından ‘İş Etki Analizi’ süresince belirlenmiş olan kritik süreçlerin kurtarma ve sürekliliği iş sürekliliği planının merkezinde yer alır. İş sürekliliği planının kapsamı hem işletme içinin hem de dışının kapsamda olduğu işlevsel ve teknik alanlardır.