ISO 22301 İş Sürekliliği Yönetim Sistemi Belgelendirmesi
Siber saldırılar, fidye yazılımları, doğal afetler, enerji kesintileri, kritik tedarikçilerin faaliyetlerini durdurması, yangın, altyapı arızaları ve insan kaynağı kayıpları bir işletmenin temel faaliyetlerini beklenmedik şekilde kesintiye uğratabilir. Böyle bir olayın etkisi yalnızca üretimin veya hizmet sunumunun durmasıyla sınırlı kalmaz. Müşteri taahhütleri, sözleşmeler, nakit akışı, veri bütünlüğü, yasal yükümlülükler ve kurumsal itibar da kesintiden etkilenebilir.
ISO 22301 İş Sürekliliği Yönetim Sistemi, kuruluşların kesintiye yol açabilecek olaylara hazırlanması, kritik faaliyetlerini kabul edilebilir seviyede sürdürebilmesi ve kesinti sonrasında belirlenen hedefler doğrultusunda toparlanabilmesi için yönetim sistemi şartlarını tanımlar.
İçindekiler
ISO 22301 Standardı Nedir ve Kimleri Kapsar?
ISO 22301, kuruluşların iş sürekliliği yönetim sistemini kurması, uygulaması, sürdürmesi ve sürekli iyileştirmesi için yayımlanmış uluslararası bir standarttır. Standardın tam adı Security and resilience — Business continuity management systems — Requirements şeklindedir.
İş sürekliliği yönetimi; kesintiye neden olabilecek tehditlerin değerlendirilmesi, kritik ürün ve hizmetlerin belirlenmesi, kesinti etkilerinin analiz edilmesi, uygun süreklilik stratejilerinin geliştirilmesi ve olay sırasında koordineli müdahale edilmesini kapsar.
ISO 22301'in uygulanması yalnızca büyük ölçekli kuruluşlarla sınırlı değildir. Faaliyetlerinin devamlılığı müşteriler, çalışanlar, tedarikçiler, kamu kurumları veya diğer ilgili taraflar açısından önem taşıyan her ölçekteki kuruluş standardın kapsamına girebilir.
ISO 22301 Hangi Sektörler İçin Önemlidir?
Bilgi Teknolojileri
Sunucu kesintileri, veri kaybı, siber saldırılar, ağ altyapısı arızaları ve bulut hizmeti sağlayıcılarına bağımlılık iş sürekliliği açısından kritik risklerdir. BT ekiplerinin sistem kurtarma hedefleri, yedekleme altyapısı, alternatif erişim yöntemleri ve hizmet sağlayıcı planları birlikte değerlendirilmelidir.
Finans ve Bankacılık
Ödeme sistemleri, müşteri işlemleri, finansal kayıtlar, şube ve dijital kanal hizmetleri kesintilerden doğrudan etkilenebilir. İşlem sürekliliği, veri bütünlüğü, dış hizmet sağlayıcılar ve kriz iletişimi bu kuruluşlarda öncelikli konulardır. Sektörel düzenlemeler ve otorite beklentileri ayrıca değerlendirilmelidir.
Üretim ve Sanayi
Kritik makinelerin arızalanması, enerji ve su kesintileri, otomasyon sistemlerinin devre dışı kalması, kalıp veya yedek parça tedarikinin durması üretim planını etkileyebilir. Alternatif üretim kapasitesi, bakım stratejileri, kritik stoklar ve tedarikçi çeşitlendirmesi süreklilik planlarının önemli bileşenleridir.
Lojistik ve Tedarik
Depo, liman, taşıma rotası, filo, gümrük ve dağıtım merkezlerinde meydana gelen kesintiler teslimat performansını etkiler. Alternatif güzergâhlar, taşıyıcı seçenekleri, kritik müşteri öncelikleri ve dış kaynaklı hizmet bağımlılıkları değerlendirilmelidir.
Enerji ve Altyapı
Elektrik, doğal gaz, su, telekomünikasyon ve diğer kritik altyapı hizmetlerinde kesintinin etkisi kuruluş sınırlarını aşabilir. Operasyonel müdahale, yedek sistemler, saha ekipleri, tedarik zinciri ve ilgili kamu otoriteleriyle iletişim planları önem taşır.
Sağlık ve Kamu
Hizmetlerin kesintiye uğraması insan sağlığı, kamu güvenliği ve temel hizmetlere erişim üzerinde doğrudan etki oluşturabilir. Kritik hizmetlerin önceliklendirilmesi, personel sürekliliği, alternatif tesis ve kaynak planlaması gereklidir.
ISO 22301 ile ISO 27001 ve ISO 9001 Entegrasyonu
ISO 22301, ISO 27001 Bilgi Güvenliği Yönetim Sistemi ve ISO 9001 Kalite Yönetim Sistemi ile ortak yönetim sistemi yapısı üzerinden entegre edilebilir.
ISO 27001, bilgi varlıklarının gizliliği, bütünlüğü ve erişilebilirliğine yönelik risklerin yönetilmesine odaklanır. ISO 22301 ise kuruluşun kritik faaliyetlerini kesinti sırasında kabul edilebilir seviyede sürdürebilmesini ve toparlanmasını ele alır. Bilgi sistemlerinin kesintiye uğraması her iki standardın da kapsamına giren bir risk olabilir; ancak iki standardın kontrol ve hedefleri aynı değildir.
ISO 9001 ile entegrasyonda süreç yönetimi, müşteri şartları, tedarikçi değerlendirmesi, uygunsuzlukların yönetimi, iç tetkik ve yönetimin gözden geçirmesi gibi ortak uygulamalar kullanılabilir. Böylece kuruluş, kalite performansı ile operasyonel süreklilik hedeflerini aynı yönetim sistemi çatısı altında takip edebilir.
Entegrasyon, her standardın kendine özgü şartlarının ortadan kalktığı anlamına gelmez. ISO 22301'in iş etki analizi, süreklilik stratejileri, planlar ve tatbikatlarla ilgili gereklilikleri ayrıca karşılanmalıdır.
İş Sürekliliği Yönetim Sisteminin Temel Teknik Bileşenleri
ISO 22301 uygulamasında temel soru, kuruluşun hangi olayla karşılaşacağı değil; kritik bir faaliyet kesintiye uğradığında hangi hizmetin, ne kadar süre içinde, hangi kaynaklarla ve hangi kabul edilebilir kapasitede yeniden çalıştırılacağıdır. Bu sorulara verilecek yanıtlar iş etki analizi, risk değerlendirmesi, süreklilik stratejileri ve test faaliyetleriyle oluşturulur.
İş Etki Analizi (BIA) Nedir?
İş Etki Analizi (BIA), bir kuruluşun faaliyetlerindeki kesintilerin zaman içinde oluşturabileceği sonuçları değerlendiren sistematik çalışmadır. Amaç, tüm süreçleri aynı önemde görmek yerine kuruluşun ürün ve hizmet sunumunu sürdürebilmesi için kritik olan faaliyetleri belirlemektir. BIA çalışmasında her faaliyet için kesintinin finansal, operasyonel, yasal, sözleşmesel, müşteri ve itibar üzerindeki etkileri incelenir. Kesinti süresi uzadıkça etkinin nasıl değiştiği değerlendirilir. Böylece hangi faaliyetin önce kurtarılması gerektiği ve hangi kaynakların öncelikli tahsis edileceği belirlenebilir.
Bir BIA çalışmasında şu konular incelenir:
- Kritik ürün, hizmet ve faaliyetlerin belirlenmesi
- Faaliyetlerin birbirleriyle olan süreç bağımlılıkları
- Gerekli personel, bilgi, tesis, ekipman ve teknoloji kaynakları
- Kritik tedarikçi ve dış hizmet sağlayıcı bağımlılıkları
- Kesintinin farklı sürelerde oluşturacağı etkiler
- Faaliyetin asgari kabul edilebilir kapasitesi
- Kurtarma öncelikleri ve hedefleri
- Kabul edilebilir kesinti ve veri kaybı sınırları
BIA sonucunda belirlenen kurtarma hedefleri, teknik altyapı ve operasyonel kaynaklarla uyumlu olmalıdır. İş biriminin kısa bir kurtarma süresi talep etmesi tek başına yeterli değildir; bu hedefin yedek sistemler, personel, tesis, veri ve tedarik kapasitesiyle karşılanabilir olması gerekir.
Risk Değerlendirmesi ve Kriz Senaryoları
Risk değerlendirmesi, kuruluşun iş sürekliliğini tehdit edebilecek olayları ve bu olayların kritik faaliyetler üzerindeki etkilerini belirler. BIA ile risk değerlendirmesi birbiriyle bağlantılı olmakla birlikte farklı sorulara yanıt verir.
BIA, “Bu faaliyet kesilirse kuruluş ne kadar etkilenir?” sorusunu inceler. Risk değerlendirmesi ise “Bu faaliyetin kesilmesine hangi olaylar neden olabilir ve bu olayların gerçekleşme olasılığı ile etkisi nedir?” sorusuna odaklanır.
Kuruluşun değerlendirebileceği örnek senaryolar şunlardır:
- Fidye yazılımı saldırısı nedeniyle kurumsal sistemlere erişimin kaybedilmesi
- Veri merkezinde yangın veya soğutma sistemi arızası
- Elektrik kesintisi veya jeneratör sisteminin devreye girmemesi
- Üretim tesisinde yangın, su baskını veya yapısal hasar
- Kritik tedarikçinin faaliyetlerini durdurması
- Lojistik rotasının kapanması veya ana dağıtım merkezinin kullanılamaması
- Kritik personelin aynı anda görev yapamaması
- Telekomünikasyon altyapısının kesilmesi
- İklim kaynaklı aşırı hava olaylarının tesis, ulaşım veya tedarik zincirine etkisi
Senaryolar yalnızca genel tehlike listesi olarak bırakılmamalıdır. Her senaryoda olayın başlangıç koşulları, etkilenen süreçler, karar yetkileri, iletişim kanalları, kullanılacak kaynaklar ve kurtarma öncelikleri tanımlanmalıdır.
İş Sürekliliği Stratejileri ve Planları
Riskler ve BIA sonuçları belirlendikten sonra kritik faaliyetlerin kesinti sırasında nasıl sürdürüleceği veya yeniden başlatılacağı planlanır. Strateji seçimi, hedeflenen kurtarma süreleri ve mevcut kaynaklar arasında gerçekçi bir uyum kurmalıdır.
Alternatif çalışma alanları: Ana tesisin kullanılamadığı durumlarda faaliyetlerin sürdürülebileceği yedek ofis, üretim alanı, depo veya operasyon merkezi belirlenir. Alternatif alanın yalnızca adresinin bulunması yeterli değildir; kapasite, erişim, güvenlik, altyapı ve devreye alma koşulları doğrulanmalıdır.
BT altyapısı ve veri kurtarma: Kritik uygulamalar için yedek sunucular, alternatif veri merkezi, bulut altyapısı, çevrimdışı yedekler, veri replikasyonu ve geri yükleme prosedürleri planlanır. Yedeklerin varlığı kadar geri yüklenebilirliği de test edilmelidir.
Tedarikçi ve kaynak sürekliliği: Kritik hammadde, enerji, iletişim, bakım, lojistik ve dış hizmet sağlayıcılar için alternatif kaynaklar belirlenir. Alternatif tedarikçinin kapasitesi, devreye alınma süresi ve sözleşme koşulları değerlendirilmelidir.
Personel ve görev yedeklemesi: Kritik görevler için vekâlet ve yetki düzeni oluşturulur. Anahtar personelin görev yapamaması durumunda operasyonu sürdürebilecek alternatif çalışanlar belirlenir ve gerekli yetkinlikleri kazandırılır.
Asgari kabul edilebilir hizmet seviyesi: Kuruluş, kesinti sırasında hangi ürün veya hizmetleri hangi kapasitede sunabileceğini tanımlar. Tüm faaliyetlerin aynı anda tam kapasiteye dönmesi mümkün olmayabilir; bu nedenle müşteri ve operasyon öncelikleri açıkça belirlenmelidir.
Test, Tatbikat ve Doğrulama
İş sürekliliği planının hazırlanmış olması, kuruluşun kesinti durumunda hedeflenen performansı sağlayabileceğini tek başına kanıtlamaz. Planların uygulanabilirliği test ve tatbikatlarla doğrulanmalıdır.
Kuruluşun faaliyet yapısına göre farklı test yöntemleri kullanılabilir:
- Masa başı tatbikat: Katılımcılara belirli bir kriz senaryosu sunulur. Karar alma, görev paylaşımı, iletişim, eskalasyon ve planların kullanılabilirliği değerlendirilir.
- İletişim tatbikatı: Kriz ekibi ve ilgili taraflara ulaşma kapasitesi test edilir. İrtibat bilgilerinin güncelliği, alternatif iletişim kanalları ve yanıt süreleri kontrol edilir.
- BT kurtarma testi: Yedeklerden geri yükleme, alternatif sistemlere geçiş, veri bütünlüğü ve RTO/RPO hedeflerinin karşılanabilirliği doğrulanır.
- Operasyonel süreklilik tatbikatı: Alternatif tesis, üretim hattı, depo, personel veya tedarikçi düzeninin gerçekten devreye alınabilir olup olmadığı değerlendirilir.
- Tam ölçekli tatbikat: Uygun görülen senaryolarda birden fazla birimin katılımıyla müdahale ve kurtarma kapasitesi daha kapsamlı biçimde test edilir.
RTO, RPO ve MTPD Kavramları
İş sürekliliği çalışmalarında kullanılan üç önemli kavram, kesinti ve kurtarma hedeflerinin birbirinden ayrılmasını sağlar.
RTO
Recovery Time ObjectiveBir faaliyetin veya sistemin kesintiye uğramasından sonra belirlenen hizmet seviyesinde yeniden çalışır hâle getirilmesi için hedeflenen azami süredir. RTO, kuruluşun ne kadar süre içinde toparlanmayı amaçladığını gösterir.
RPO
Recovery Point ObjectiveBir kesinti durumunda kabul edilebilir en fazla veri kaybını, zaman cinsinden ifade eder. Örneğin RPO değeri 30 dakika olarak belirlenmiş bir sistemde, kurtarma sonrasında en fazla 30 dakikalık veri kaybının tolere edilebileceği hedeflenir. Bu hedef, yedekleme ve veri replikasyon sıklığının belirlenmesinde kullanılır.
MTPD
Maximum Tolerable Period of DisruptionBir faaliyetin kesintiye uğramasının kuruluş açısından kabul edilemez sonuçlar doğurmadan önce tolere edilebilecek azami süresidir. MTPD, BIA kapsamında kesintinin etkileri değerlendirilerek belirlenir.
RTO ile MTPD aynı kavram değildir. RTO, kuruluşun belirlediği kurtarma hedefini; MTPD ise kesintinin tolere edilebileceği üst sınırı ifade eder. RTO hedefinin, MTPD sınırını aşmayacak ve uygulanabilir bir güvenlik payı bırakacak şekilde belirlenmesi gerekir.
Örnek olarak bir e-ticaret işletmesinin sipariş yönetim sistemi için BIA sonucunda MTPD 12 saat, RTO 4 saat ve RPO 30 dakika olarak belirlenmiş olabilir. Bu durumda işletme, sistemin kesintiden sonra dört saat içinde yeniden çalışmasını, veri kaybının ise en fazla 30 dakikalık işlem aralığıyla sınırlanmasını hedefler. Bu değerler örnektir; her kuruluş için BIA sonuçlarına göre ayrı belirlenmelidir.
Kriz Yönetimi, Müdahale ve İletişim
Kriz yönetimi, kesintinin etkilerinin kontrol altına alınması ve kuruluşun koordineli hareket etmesi için karar ve iletişim yapısının işletilmesini kapsar. Kriz yönetim yapısında aşağıdaki görevler tanımlanabilir:
- Olayın iş sürekliliği açısından değerlendirilmesi ve aktivasyon kararı
- Kriz yönetim ekibinin göreve çağrılması
- Operasyonel, teknik ve idari müdahalenin koordinasyonu
- Çalışanlar, müşteriler, tedarikçiler ve ilgili taraflarla iletişim
- Yetkili kurumlara yapılması gereken bildirimlerin yönetimi
- Kaynak ve öncelik tahsisi
- Faaliyetlerin kontrollü biçimde yeniden başlatılması
- Olay sonrası değerlendirme ve iyileştirme kararları
Kriz iletişiminde kullanılacak irtibat listeleri güncel tutulmalıdır. Ana iletişim altyapısının çalışmadığı senaryolarda kullanılacak alternatif kanallar da belirlenmelidir. Kamuya, müşterilere veya düzenleyici kurumlara yapılacak açıklamaların yetkili kişiler tarafından yürütülmesi önemlidir.
ISO 22301 Kurulum Süreci ve Belgelendirme Adımları
ISO 22301 yönetim sisteminin kurulması, kuruluşun mevcut kriz yönetimi ve operasyonel risk altyapısının değerlendirilmesiyle başlar. Süreç yalnızca plan dokümanlarının hazırlanmasından ibaret değildir. Kritik faaliyetlerin belirlenmesi, iş etki analizinin yapılması, stratejilerin seçilmesi ve uygulamanın test edilmesi gerekir.
Mevcut Durum ve Kapsam Analizi
İlk değerlendirmede kuruluşun faaliyetleri, lokasyonları, ürün ve hizmetleri, çalışan yapısı, bilgi sistemleri ve kritik dış kaynak ilişkileri incelenir. Belgelendirme kapsamı kuruluşun hangi faaliyetlerini ve lokasyonlarını içerdiğini açıkça ifade etmelidir. Birden fazla tesis veya iştirak söz konusuysa her birinin operasyonel bağımlılıkları ve yönetim sistemi kapsamındaki yeri belirlenmelidir.
Mevcut acil durum prosedürleri, bilgi teknolojileri felaket kurtarma planları, kriz iletişim dokümanları, risk kayıtları ve tedarikçi süreklilik düzenlemeleri gözden geçirilir. Bu çalışmaların ISO 22301 şartlarıyla uyumu ve eksik kalan alanlar belirlenir.
İş Etki Analizi ve Risk Değerlendirmesi
Kritik faaliyetler belirlenerek BIA çalışması yürütülür. Faaliyetlerin kesinti etkileri, bağımlılıkları, minimum kabul edilebilir hizmet seviyeleri, MTPD, RTO ve gerekli olduğunda RPO hedefleri değerlendirilir.
Risk değerlendirmesinde kritik faaliyetlerin kesintiye uğramasına neden olabilecek iç ve dış olaylar ele alınır. Risklerin önceliklendirilmesi, seçilecek süreklilik stratejilerinin temel girdisini oluşturur.
Politika, Hedefler ve Planların Oluşturulması
Üst yönetimin desteğiyle iş sürekliliği politikası hazırlanır. Politika; kuruluşun faaliyet yapısına, ilgili taraf beklentilerine ve süreklilik hedeflerine uygun olmalıdır.
İş sürekliliği hedefleri ölçülebilir ve izlenebilir şekilde tanımlanır. Kriz yönetim ekibi, süreç sahipleri, yedek görevli personel ve iletişim sorumluları belirlenir.
BIA ve risk değerlendirmesi sonuçlarına göre süreklilik stratejileri seçilir. İş sürekliliği planları, olay müdahale düzenlemeleri, iletişim planları ve kurtarma prosedürleri hazırlanır. Planların erişilebilirliği ve güncelliği için sorumluluklar tanımlanır.
Eğitim, Tatbikat ve Sistemin İşletilmesi
Çalışanlara görevleriyle ilgili eğitim verilir. Kriz yönetim ekibi, süreç sahipleri ve teknik kurtarma ekipleri kendi sorumluluklarını bilmelidir.
Planların uygulanabilirliği belirlenen program kapsamında test edilir. Tatbikat sonuçları, performans göstergeleri, uygunsuzluklar ve düzeltici faaliyetler kayıt altına alınır.
İç Tetkik ve Yönetimin Gözden Geçirmesi
Belgelendirme denetimi öncesinde iç tetkik yapılarak yönetim sisteminin standardın şartlarına ve kuruluşun kendi düzenlemelerine uygunluğu değerlendirilir.
Yönetimin gözden geçirmesinde BIA ve risk değerlendirmelerinin güncelliği, tatbikat sonuçları, hedef performansı, kaynak yeterliliği, olay kayıtları, iç tetkik bulguları ve iyileştirme ihtiyaçları ele alınır. Yönetim kararları sorumlu kişiler ve hedef tarihlerle kayıt altına alınır.
1. Aşama – Dokümantasyon ve Hazırlık Değerlendirmesi
İlk aşamada kuruluşun kapsamı, iş sürekliliği politikası, BIA yaklaşımı, risk değerlendirme yöntemi, süreklilik stratejileri ve planları incelenir. Yönetim sisteminin ikinci aşama denetimine hazır olup olmadığı değerlendirilir. Kuruluşun faaliyet yapısına göre gerekli hazırlık ve açıklığa kavuşturulması gereken konular belirlenir.
2. Aşama – Uygulama ve Saha Denetimi
İkinci aşamada iş sürekliliği yönetim sisteminin kuruluşta uygulanması değerlendirilir. Denetim; ilgili lokasyonlarda, operasyonlarda ve gerekli görülen destek süreçlerinde yürütülür.
Denetçi, BIA sonuçlarının gerçek faaliyetlerle uyumunu, RTO ve RPO hedeflerinin dayanaklarını, süreklilik planlarının erişilebilirliğini, görev ve sorumlulukların anlaşılmasını, tedarikçi bağımlılıklarının yönetimini ve tatbikat kayıtlarını inceler. Denetim bulguları objektif kanıtlara dayanarak raporlanır. Tespit edilen uygunsuzlukların ele alınması ve belgelendirme kararı, ilgili belgelendirme prosedürüne göre yürütülür.
ISO 22301 Denetiminde İncelenen Temel Kanıtlar
ISO 22301 denetiminde yalnızca prosedür ve plan dokümanlarının bulunması yeterli değildir. Kuruluşun süreklilik hedeflerini belirlediğini, bu hedeflere ulaşmak için kaynak ayırdığını ve planların uygulanabilirliğini doğruladığını gösteren kanıtlar aranır.
| Denetim Konusu | İncelenebilecek Kayıt ve Kanıtlar |
|---|---|
| Kuruluşun bağlamı | İç ve dış hususlar, ilgili taraflar, kapsam tanımı |
| Liderlik ve politika | İş sürekliliği politikası, görev ve yetki tanımları |
| BIA | Kritik faaliyet listesi, kesinti etki değerlendirmeleri, bağımlılık kayıtları |
| Kurtarma hedefleri | MTPD, RTO ve RPO belirleme dayanakları |
| Risk değerlendirmesi | Tehdit senaryoları, risk analizleri ve değerlendirme kayıtları |
| Süreklilik stratejileri | Alternatif tesis, kaynak, tedarikçi ve BT kurtarma düzenlemeleri |
| İş sürekliliği planları | Kriz müdahale, iletişim ve kurtarma planları |
| Yetkinlik ve farkındalık | Eğitim kayıtları, görevli personel yeterlilikleri |
| Tatbikat ve test | Senaryo, katılım, test sonucu ve iyileştirme kayıtları |
| Performans değerlendirmesi | KPI sonuçları, iç tetkik ve yönetimin gözden geçirmesi |
| İyileştirme | Olay sonrası değerlendirme, uygunsuzluk ve düzeltici faaliyet kayıtları |
Denetimde özellikle BIA sonuçları ile iş sürekliliği planlarının birbiriyle tutarlı olması beklenir. Örneğin kritik bir sistem için dört saatlik RTO belirlenmişse kuruluşun yedek altyapısı, personel düzeni, erişim yetkileri ve kurtarma prosedürleri bu hedefi karşılayabilecek durumda olmalıdır. Yalnızca planda dört saat yazması, hedefin sağlanabileceğini kanıtlamaz.
Vertacert ile ISO 22301 İş Sürekliliği Belgelendirme Hizmeti
Vertacert, işletmenizin kesintilere karşı direncini artırmayı amaçlayan ISO 22301 İş Sürekliliği Yönetim Sistemi şartlarına uyumunu bağımsız olarak denetler ve belgelendirme sürecini yürütür. Kriz anlarında operasyonel sürekliliğinizi desteklemek, müşteri güvenini güçlendirmek ve kurumsal dayanıklılığınızı artırmak için uzman denetim yaklaşımımızla yanınızdayız.
Belgelendirme denetiminde kuruluşunuzun kritik faaliyetleri, iş etki analizi, risk senaryoları, kurtarma hedefleri, süreklilik planları ve tatbikat sonuçları birlikte değerlendirilir. Böylece sistemin yalnızca dokümantasyon düzeyinde değil, gerçek operasyon koşullarında da uygulanabilir olup olmadığı incelenir.
Başvuru İçin Gerekli Bilgiler
ISO 22301 belgelendirme başvurunuzda aşağıdaki bilgiler denetim kapsamının belirlenmesine yardımcı olur:
- Kuruluşun faaliyet alanı ve çalışan sayısı
- Belgelendirme kapsamına alınacak ürün ve hizmetler
- Tesis, şube ve operasyon lokasyonları
- Kritik bilgi sistemleri ve dış hizmet sağlayıcılar
- Mevcut iş sürekliliği, kriz yönetimi ve felaket kurtarma altyapısı
- ISO 9001 veya ISO 27001 gibi mevcut yönetim sistemi belgeleri
İş Sürekliliği Sisteminizi Belgelendirin
İş sürekliliği yönetim sisteminizin belgelendirme sürecini başlatmak için Vertacert'ten teklif alın. Kuruluşunuzun kapsamını ve mevcut hazırlık düzeyini değerlendirelim; denetim planlaması ve başvuru koşullarını netleştirelim.
Teklif Al / Başvuru YapISO 22301 Hakkında Sıkça Sorulan Sorular
ISO 22301 belgesi almak şirketler için yasal zorunluluk mu?
ISO 22301 belgelendirmesi, bütün şirketler için genel olarak zorunlu tutulan bir yasal belge değildir. Bununla birlikte bazı sektörlerde iş sürekliliği, operasyonel dayanıklılık, bilgi sistemleri ve kriz yönetimiyle ilgili düzenleyici yükümlülükler bulunabilir. Ayrıca müşteri sözleşmeleri, tedarikçi yeterlilik kriterleri ve kamu veya özel sektör ihaleleri ISO 22301 belgesini ya da standarda uygun iş sürekliliği altyapısını şart koşabilir. Kuruluşun tabi olduğu sektörel mevzuat ve sözleşme koşulları ayrıca incelenmelidir.
RTO ve RPO nasıl belirlenir?
RTO ve RPO değerleri İş Etki Analizi (BIA) sonuçlarına göre belirlenir. RTO, kesintiye uğrayan faaliyetin hedeflenen süre içinde yeniden çalışır hâle getirilmesini ifade eder. RPO ise kurtarma sonrasında kabul edilebilir veri kaybını zaman cinsinden tanımlar. Belirleme sırasında kesintinin finansal, operasyonel, yasal ve müşteri üzerindeki etkileri; süreç bağımlılıkları ve teknik kurtarma kapasitesi birlikte değerlendirilir. Hedefler yalnızca yönetim talebiyle belirlenmemeli, mevcut kaynaklarla gerçekleştirilebilir olmalıdır.
ISO 22301 belgesinin geçerlilik süresi ve denetim sıklığı nedir?
Yönetim sistemi belgelendirmelerinde yaygın uygulama üç yıllık belgelendirme döngüsüdür. İlk belgelendirme denetiminin ardından belgenin devamlılığı için genellikle yıllık gözetim denetimleri yapılır; üçüncü yılın sonunda yeniden belgelendirme denetimi gerçekleştirilir. Kesin denetim takvimi ve belge koşulları, belgelendirme programına ve kuruluşun durumuna göre belirlenir.
ISO 22301 yalnızca bilgi işlem departmanları için mi geçerlidir?
Hayır. Bilgi teknolojileri birçok kuruluşta kritik bir destek faaliyeti olmakla birlikte ISO 22301 kuruluşun ürün ve hizmet sunumunu etkileyen bütün kritik faaliyetleri kapsayabilir. Üretim, satın alma, insan kaynakları, lojistik, finans, müşteri hizmetleri, tesis yönetimi ve dış kaynak süreçleri de iş etki analizine dâhil edilebilir.
ISO 22301 ile felaket kurtarma planı aynı şey midir?
Hayır. Felaket kurtarma planı genellikle belirli teknoloji, tesis veya altyapı kaynaklarının yeniden devreye alınmasına odaklanır. ISO 22301 ise kuruluşun kritik ürün ve hizmetlerini kesinti sırasında kabul edilebilir seviyede sürdürebilmesi ve toparlanabilmesi için daha geniş bir yönetim sistemi çerçevesi sunar. BT felaket kurtarma planı, iş sürekliliği sisteminin önemli bileşenlerinden biridir; sistemin tamamı değildir.
İş sürekliliği planları ne sıklıkla test edilmelidir?
Test ve tatbikat sıklığı kuruluşun riskleri, faaliyetlerinin kritikliği, değişiklikleri ve süreklilik hedefleri dikkate alınarak planlanmalıdır. Kritik sistemlerde daha sık test gerekebilir. Büyük bir altyapı değişikliği, tesis taşınması, kritik tedarikçi değişimi veya ciddi bir olay sonrasında planların yeniden değerlendirilmesi önemlidir. Tatbikat sonuçları kayıt altına alınmalı ve tespit edilen eksiklikler için düzeltici faaliyet yürütülmelidir.
ISO 22301 belgesi müşteri ve tedarikçi güvenini nasıl etkiler?
ISO 22301 belgesi, kuruluşun iş sürekliliğini sistematik olarak yönettiğine ilişkin bağımsız denetim sonucunu gösterir. Müşteriler ve iş ortakları açısından kritik faaliyetlerin, kesinti etkilerinin, kurtarma hedeflerinin ve süreklilik planlarının yönetildiğine dair güven oluşturabilir. Ancak belge, hiçbir kesinti yaşanmayacağı veya tüm hizmetlerin her koşulda kesintisiz sürdürüleceği garantisi değildir.