TS ISO 22301 İş Sürekliliği Yönetim Sistemi

Birçok standartta olduğu gibi bu konuda da bir geçiş (BS 7799-2‘den ISO 27001‘e gibi) kaçınılmaz olmuş ve International Organization for Standardization (ISO) BS 25999’un yerine geçecek ISO 22301‘i hazırlamaya başlamıştır. 2011 yılı içerisinde taslak sürümü kamuoyu ile paylaşılan standart, 2012 yılı ortasında ISO 22301 Sosyal Güvenlik - İş Sürekliliği Yönetim Sistemi adıyla son hali olarak yayınlanmıştır.

ISO 22301, kurumu kesintiye uğratacak olaylar meydana geldiğinde kurumun hazırlıklı olması, cevap verebilmesi ve geri dönebilmesi için dökümante edilmiş bir yönetim sitemine ilişkin gereksinimleri belirler.

•    Her tip veya büyüklükteki endüstri veya sektör için geçerlidir

•    Sistematik bir yaklaşım için denenmiş ve test edilmiş bir çerçeve sunar

•    Müşteri ihtiyaçlarını, kurum içi ihtiyaçları, mevzuatı, yasal ve düzenleyici gereksinimleri karşılayan bir çerçeve sağlar

 •    İş sürekliliği için standart gereksinimlerini belirler

 •    Kesintilere rağmen iş ihtiyaçlarını sürekli karşılayacak bir model sunar

 •    Tanımlanmış şartların karşılandığını gösteren sertifikasyon için temel oluşturur

Standardın, İş Sürekliliği Yönetim Sistemi (İSYS) ile ilgili ana bölümleri şu madde numaraları altındadır.

         Madde 4: Organizasyon İçeriği

         Madde 5: Liderlik

         Madde 6: Planlama

         Madde 7: Destek

         Madde 8: Operasyon

         Madde 9: Performans değerlendirme

         Madde 10: İyileştirme

Bu anahtar faaliyetlerin her birinin açıklaması aşağıda verilmiştir.

Standardın İSYS ile ilgili olan ilk maddesinde organizasyonun yapısı, İSYS kapsamı ve risk kriterleri belirlenmesi için kılavuz ifadeler yer almaktadır.

Bu ifadeler özetle;

         •    Kuruluşun faaliyetleri, ürün ve hizmetleri, ilgili taraflar ve ilgili taraflar ile ilişkileri,

         •    Risk kriterleri, riske yol açabilecek iç ve dış unsurların belirlenmesi,

         •    Risk alma eğilimi (risk iştahı) ile bir yıkıcı olayın ilgili taraflara potansiyel etkisi,

         •    İSYS’de ilgili tarafların ihtiyaç ve beklentileri ile regülatif açıdan gereksinimler,

         •    İSYS’ye dahil edilecek kuruluş parçalarının doğası ve karmaşıklığına uygun kapsam ve İSYS’ye duyulan ihtiyaç,

gibi başlıklar için tanımlamalar ve açıklamalara duyulan gereksinimi içermektedir.

Yönetim sistemi kurulum ve sürdürülmesi için üst yönetim tarafından yetkilendirilmiş bir iş sürekliliği yönetim sistemi lideri gerekmektedir. Bu liderin, yönetimin organizasyon hedeflerini belirleme, gerekli kaynak ve yetkilendirmeyi sağlama ile etkin çalışılabilir ortam oluşturma görevi gibi nedenler ile yönetim sistemine sürekli bağlılık göstermesi gerekmektedir.

İş Sürekliliği lideri için standart;

         •    Politika ve stratejilerin İş Sürekliliği hedeflerine uygun kurulması,

         •    Kaynakların kullanılabilir olmalarının sağlanması,

         •    Liderlik ve taahhüdün motive edici ve güçlendirici olarak kullanılması,

         •    Kuruluşun amacına uygun, sürekli iyileştirme taahhüdü içeren, kuruluş içinde ve ilgili taraflara duyurulmuş bir iş sürekliliği politikası,

         •    Gerekli yetkilendirme ile, üst yönetime sunulmak üzere performans ölçümü yapılması,

sorumluluklarını ifade etmektedir.

İş Sürekliliği Yönetim Sistemi işletilirken, yönetim sisteminin kurulma yöntemlerini içeren bir plan yapılır ve bu plana göre aksiyonlar alınır. Asıl amaç iş sürekliliği hedeflerine ulaşmaktır. İş Sürekliliği hedeflerine ulaşmak için plan yapılırken, kuruluş şunları belirlemelidir;

         •    Kim sorumlu olacak,

         •    Ne yapacak,

         •    Hangi kaynaklar gerekecek,

         •    Ne zaman tamamlanacak,

         •    Sonuçlar nasıl değerlendirilecek.

İş Sürekliliği Yönetim Sisteminin kurulum, yürütme, bakım ve geliştirmesi için ihtiyaç duyulan tüm kaynakları, yetkinlikleri, farkındalığı, iletişimi ve dökümantasyon içeriğini, yöntemleri ile birlikte açıklayan bir bölümdür.

Operasyon bölümünde ise, belirlenen kapsam ve politikaya göre, yetkilendirilmiş kişiler sorumluluğunda, dahil edilmiş kuruluş parçaları ile birlikte, belirlenmiş tarihe kadar bir İş Sürekliliği Yönetim Sistemi’nin kurulma aşamaları anlatılmaktadır;

Aşamalar özetle şu şekildedir;

         •    Kriterlerin belirlenmesi ve dökümanlara karar verilmesi ile planlamanın yapılması,

         •    İş Etki Analizi ve Risk Değerlendirmesi çalışmalarının içermesi gerekenler,

         •    Analiz ve değerlendirmeler sonrasında, bir iş sürekliliği stratejisi kurma,

         •    İş Sürekliliği politikasına da bağlı olmak üzere, iş sürekliliği prosedür ve talimatlarını hazırlama,

         •    Olaya müdahale yapısı ile, bu yapının haberdar edilmesi ve iletişim kurabilmesi için bir yapı oluşturma,

         •    Zaman kritik iş süreçlerinin kesintisi halinde, nasıl aksiyon alınacağına dair İş Sürekliliği Planları oluşturma,

         •    Sürekliliği sağlanmış faaliyetlerin, olay oluşmadan önceki hallerine geri dönmelerinin sağlanması için planlar oluşturma,

         •    İş Sürekliliği Hedefleri ile kurulan bu süreklilik prosedürlerinin uyumluluğunun tatbikat ve testlerle kontrolü.

İzleme, ölçüm, analiz ve değerlendirme aşamalarını içeren bu bölümde, 6.Maddede yapılan kriter belirleme ve ölçüm değerlendirme planlarına göre, kurulmuş yönetim sisteminin uygulanabilirliği ve geçerliliğinin kontrolüne dair açıklamalar bulunmaktadır.

Operasyon aşamalarından ziyade tüm yönetim sisteminin işlerlik ve geçerliliğinin kontrol edilip; prosedürlerin değerlendirilmesi, iç denetim ve yönetimin gözden geçirilmesi ile bir performans değerlendirilmesinin yapılmasına dair yöntemler içeren bölümdür.

Üst yönetimin katılımını ve desteğini alın.
Bütün işe iyi bir iç iletişimle başlayın.
Mevcut iş sürekliliği yönetim sistemini ISO 22301 gereklilikleriyle karşılaştırın.
Mevcut iş süreklilik yönetimi süreçleriyle ilgili müşteri ve tedarikçi geri bildirimi edinin.
En iyi sonuçları almak için bir uygulama ekibi oluşturun.
Görevleri, sorumlulukları ve zaman çizelgelerini hazırlayıp paylaşın.
ISO 22301 standardının temel ilkelerini şirketinize uyarlayın.
Eğitim ve teşviklerle personeli katılıma özendirin.
ISO 22301 bilgisini paylaşın ve personeli şirket içi denetçi olarak eğitim almaya teşvik edin.
Sürekli geliştiğinden ve etkin kaldığından emin olmak için ISO 22301 sisteminizi düzenli olarak gözden geçirin.